Durch eine Schwachstelle im Microsoft Internet Explorer 5.x kann eine arglistige Webseite Verzeichnisse und Dateien (z.B. E-Mails) von IIS 5.0 Servern, auf die der Betrachter der arglistigen Webseite Zugriff hat, auslesen.

Betroffene Systeme

• Microsoft Internet Explorer 5.x (im Zusammenspiel mit einem IIS 5.0)

Beschreibung
Im Georgi Guninski security advisory #40, 2001 wird eine Sicherheitslücke im Microsoft Internet Explorer 5.x beschrieben, die es arglistigen Webseiten ermöglicht Verzeichnisse von IIS 5.0 Servern, auf die der Surfer Zugriff hat, aufzulisten. Unter gewissen Umständen ist es der arglistigen Webseite auch möglich die E-Mails und E-Mail-Ordner des Surfers einzusehen, sofern diese auf einem Exchange 2000 Server mit Web Storage (verwendet IIS 5.0) gespeichert werden. Ebenfalls ist es möglich Dateien auf dem Exchange 2000 Server (mit Web Storage) anzulegen und bestehende Dateien möglicherweise zu verändern.

Der Fehler scheint im Scripting Interface (Microsoft OLE DB Provider for Internet Publisher) für die Bearbeitung von Objekten auf IIS 5.0 oder Web Storage (Exchange 2000) zu liegen. Das Problem besteht darin, dass dieses Interface von beliebigen Servern Verbindungen zulässt, und nicht nur von dem Server, von dem die HTML Seite geladen wird. Befinden sich IIS 5.0 Server in der Local Intranet Zone so authentifiziert sich der Internet Explorer automatisch, d.h. ohne jegliche Hinweismeldung mittels NT Challenge/Response.

Gefahrenpotential
hoch (insbesondere falls Exchange 2000 Server (mit Web Storage) in der Local Intranet Zone eingetragen sind)
(Hinweise zur Einstufung des Gefahrenpotentials.)

Gegenmaßnahmen
Bisher liegt noch keine Reaktion von Microsoft vor.

Workaround
Deaktivieren Sie "Active Scripting" in den Sicherheitseinstellungen des Internet Explorers.

Weitere Information zu diesem Thema

• Georgi Guninski security advisory #40: Security bugs in interactions between IE 5.x, IIS 5.0 and Exchange 2000
• Bugtraq Artikel
• Bugtraq Antwort von aleph1

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/