Zahlreiche Cisco-Produkte sind von den jüngst veröffentlichten Sicherheitslücken im Microsoft IIS betroffen.

Betroffene Systeme

• Cisco CallManager 3.0, 3.1, 3.2
• Cisco ICS 7750
• Cisco Unity
• Cisco Building Broadband Service Manager 4.x, 5.x
• Cisco uOne Enterprise Edition
• Cisco E-mail Manager (CEM)
• Cisco Network Registrar (CNR)
• Cisco Intelligent Contact Manager (ICM)

• CiscoWorks 2000 RWAN/CWSI Campus v2.x
• Cisco Voice Manager v1.x

• Cisco Collaboration Server (CCS)
• Cisco Dynamic Content Adapter (DCA)
• Cisco Media Blender (CMB)
• TrailHead (Bestandteil des "Web Gateway")

Einfallstor
HTTP-Anfrage an den Webserver

Auswirkung

• Ausführung beliebigen Programmcodes
• Denial of Service (DoS)

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
sehr hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Wie bereits in der RUS-CERT-Meldung #784 ([MS/IIS] Sammelpatch für den Microsoft IIS) beschrieben, weist der Microsoft Internet Information Server (IIS) mehrere gravierende Schwachstellen auf. Cisco teilt mit, daß zahlreiche ihrer Produkte den IIS einsetzen und somit ebenfalls verwundbar sind.

Gegenmaßnahmen
Cisco stellt Patches zur Behebung dieser Schwachstellen bereit.

Detaillierte Patchinformation entnehmen sie bitte dem Cisco-Advisory
Microsoft IIS Vulnerabilities in Cisco Products - MS02-018

Vulnerability ID

1. CAN-2002-0079 Buffer overrun in Chunked Encoding mechanism
2. CAN-2002-0147 Microsoft-discovered variant of Chunked Encoding buffer overrun
3. CAN-2002-0150 Buffer Overrun in HTTP Header handling
4. CAN-2002-0149 Buffer Overrun in ASP Server-Side Include Function
5. CAN-2002-0071 Buffer overrun in HTR ISAPI extension
6. CAN-2002-0072 Access violation in URL error handling
7. CAN-2002-0073 Denial of service via FTP status request
8. CAN-2002-0074 Cross-site Scripting in IIS Help File search facility
9. CAN-2002-0148 Cross-site Scripting in HTTP Error Page
10. CAN-2002-0075 Cross-site Scripting in Redirect Response message

Weitere Information zu diesem Thema

• Microsoft Security Bulletin MS02-018 Cumulative Patch for Internet Information Services

Weitere Artikel zu diesem Thema:

• [MS/IIS] Sammelpatch für den Microsoft IIS (2002-04-16)
  Microsoft behebt mit einem Sammelpatch für den Microsoft Internet Information Server (IIS) zehn neue, gravierende Schwachstellen. Einige dieser Schwachstellen ermöglichen einem Angreifer über eine Netzwerkverbindung die Ausführung von beliebigem Programmcode auf dem beherbergenden Rechnersystem. Der Sammelpatch beinhaltet ferner die meisten bisherigen Sicherheitsupdates für den IIS.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/