IIS sebezhetőségre figyelmeztet a Microsoft

Bug

A Microsoft arra figyelmeztet, hogy publikus bejelentés nyomán egy, az IIS FTP szolgáltatásában levő sebezhetőséget sebezhetőséget vizsgál. A sebezhetőség kihasználása távoli kódfuttatást tehet lehetővé a bizonyos módon konfigurált (write hozzáférés az untrusted anonymous felhasználóknak - nem default), érintett rendszereken a támadó számára. A kiadott figyelmeztető szerint a Microsoft Internet Information Services (IIS) 5.0, 5.1 és 6.0 lehet érintett. A hiba kihasználásra részletes exploit érhető el az interneten. Az érintett és nem érintett operációs rendszerek listája a figyelmeztetőben található. A Kingcope által jegyzett exploit Win2K SP4-hez megtalálható a milw0rm oldalon. Egy videó található itt a hiba kihasználásáról (IIS5). IIS6-hoz nincs egyelőre ismert exploit. További részletek itt és itt.

( Hunger | 2009. 09. 02., sze – 16:53 )

(write hozzáférés az untrusted anonymous felhasználóknak - nem default)

Egy fd hozzászólás alapján nem kell hozzá write jogosultság sem, triggerelhető a probléma anélkül is: 

NLST [Ax206]*/../A*/../A*/../A*/../A*/../A*/../A*/../A*/\r\n

Az más kérdés, hogy lehet-e belőle így is kódvégrehajtást csinálni vagy nem, de aki érintett IIS ftpd-t futtat az szerintem inkább ne alapozzon arra, hogy ha nincs írás jog engedélyezve, akkor biztonságban van...

Nyilván... anonymous write == napokon belüli garantált warez és pedofil-pornó site lesz a szerverből. :)

Viszont ami fontos és talán félreérthető egyeseknek. A hiba nem csak anonymous userrel használható ki, hanem bármilyen userrel és mivel egy plain-text protokollról beszélünk, ezért én nem javasolnám a használatát még anonymous hozzáférés nélkül sem addig, amíg a hibára nem érkezik javítás.

( doc | 2009. 09. 02., sze – 18:56 )

[rosszmajusag on]
ropke ket ev es javitva lesz :D
[rosszmajusag off]

(nem megsertodni!)