Un bug nella versione 6 di Internet Information Services, il server Web di Microsoft, può garantire a un attaccante l'accesso alle aree di un server normalmente protette da password.
La vulnerabilità riguarda il modo in cui Iis processa i comandi basati sul protocollo WebDav e in particolare i problemi sono nella gestione dei caratteri Unicode.
Stando a quanto rivelato dallo US Computer Emergency Readiness Team, sfruttare il bug su un server vulnerabile è molto semplice. Per esempio, per accedere a un ipotetico file protetto.zip, sito nella cartella protected e teoricamente inaccessibile a chi non conosce la password, sarebbe sufficiente passare al server una stringa di questo tipo GET /..%c0%af/protected/protetto.zip HTTP/1.1 Translate: f Connection: close Host: servername.
Nonostante esistano già testimonianze circa lo sfruttamento della vulnerabilità, l'allarme non dovrebbe essere troppo esteso: solo la versione 6 di Iis è vulnerabile e, di default, WebDav non è abilitato.
Per Secunia il bug è "moderatamente critico"; Microsoft sta investigando sul problema alla ricerca di una soluzione.
La vulnerabilità riguarda il modo in cui Iis processa i comandi basati sul protocollo WebDav e in particolare i problemi sono nella gestione dei caratteri Unicode.
Stando a quanto rivelato dallo US Computer Emergency Readiness Team, sfruttare il bug su un server vulnerabile è molto semplice. Per esempio, per accedere a un ipotetico file protetto.zip, sito nella cartella protected e teoricamente inaccessibile a chi non conosce la password, sarebbe sufficiente passare al server una stringa di questo tipo GET /..%c0%af/protected/protetto.zip HTTP/1.1 Translate: f Connection: close Host: servername.
Nonostante esistano già testimonianze circa lo sfruttamento della vulnerabilità, l'allarme non dovrebbe essere troppo esteso: solo la versione 6 di Iis è vulnerabile e, di default, WebDav non è abilitato.
Per Secunia il bug è "moderatamente critico"; Microsoft sta investigando sul problema alla ricerca di una soluzione.
Fonte: Zeus News
Nessun commento:
Posta un commento