Die Microsoft Internet Information Services (IIS) haben ein Sicherheitsloch, das Angreifern remote access zum Serverhost erlaubt.

Im Microsoft Security Bulletin MS00-086 wird ein neues, sehr ernstes Sicherheitsloch in den Micosoft Internet Information Services (IIS) Version 5.0 beschrieben.

Die Sicherheitslücke erlaubt Angreifern mit entsprechend formulierten URLs beliebige Kommandos auf dem Serverhost auszuführen. Das Problem ist offenbar darin begründet, dass IIS "valid requests for an executable file" akzeptiert und diese Datei an das darunterliegende Betriebssystem zur Bearbeitung übergibt.

Dieses Feature ist fehlerhaft implementiert und erlaubt nicht nur, die Datei durch das Betriebssystem bearbeiten zu lassen, sondern akzeptiert im URL nach den Dateinamen auch ein oder mehrere "operating system commands". Dies bedeutet, dass mit einem entsprechend formulierten URL prinzipiell alle Kommandos, die ein Interaktivbenutzer ausführen kann, auch mit Hilfe eines Browsers von beliebigen Netzteilnehmern mit Internetzugang zu IIS ausgeführt werden können.
Laut Microsoft schliesst das auch Aktionen wie "add, delete or change files on the server, run code that was already on the server, or upload code of his choice and run it" ein.

Microsoft empfiehlt allen Betreibern der IIS 5.0 dringend den Patch Q277873_W2K_sp2_x86_DE.EXE zu installieren.

• [MS/IIE5.0] Patch für IIS 5.0 erzeugt neue Sicherheitslücke.

Hinweis
Die in diesm Text enthaltenen Informationen sind nach bestem Wissen und Gewissen recherchiert und zusammengestellt. Die Autoren, das RUS-CERT und die Universtität Stuttgart übernehmen keinerlei Gewährleistung für die Vollständigkeit, Wirksamkeit oder Korrektheit der vorgestellten Maßnahmen, Empfehlungen und Methoden.

Weitere Artikel zu diesem Thema:

• [MS/IIS5.0] Patch für IIS 5.0 erzeugt neue Sicherheitslücke (2000-11-28)
  Falls der Micosoft Patch Q277873 in den Internet Information Services 5.0 installiert ist, läßt der Server die Ausführung beliebiger Kommandos durch die Formulierung entsprechender URLs zu.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/