Microsoft stellt einen Sammelpatch für die Commerce Server 2000/2002 zur Verfügung, der vier bislang nicht veröffentlichte Schwachstellen beseitigt.

Betroffene Systeme

• Microsoft Commerce Server 2000
• Microsoft Commerce Server 2002

Nicht betroffene Systeme

• Microsoft Site Server 3.0
• Microsoft Site Server 3.0 Commerce Edition

Einfallstor

1. HTTP-Anfrage nach erfolgreicher Authentifizierung
2. Zugriff auf das Verzeichnis, indem OWC installiert wurde
3. Zugriff auf das Verzeichnis, indem OWC installiert wurde
4. HTTP-Anfrage

Auswirkung

1. Ausführung beliebigen Programmcodes mit SYSTEM-Privilegien
2. Ausführung beliebigen Programmcodes mit SYSTEM-Privilegien
3. Ausführung beliebigen Programmcodes im Sicherheitskontext des authentifizierten Benutzers
4. Ausführung beliebigen Programmcodes mit SYSTEM-Privilegien

Typ der Verwundbarkeit

1. buffer overflow bug
2. buffer overflow bug
3. fehlerhafte Zugriffsrechte
4. buffer overflow bug

Gefahrenpotential

1. hoch bis sehr hoch
2. hoch
3. niedrig bis mittel
4. sehr hoch

Kontext
Die Microsoft Commerce Server 2000/2002 sind Webserverprodukte, basierend auf dem Internet Information Server (IIS), mit deren Hilfe E-Commerce-Seiten erstellt werden können.

Beschreibung

1. Durch eine Pufferüberlaufschwachstelle im Profile-Dienst des Microsoft Commerce Server können Angreifer, die sich an den Commerce Server Webseiten authentifizieren können, beliebigen Programmcode mit SYSTEM-Privilegien ausführen. Der Profile-Dienst ist standardmäßig installiert, aber in der Voreinstellung nicht aktiviert.
2. Die Office Web Components (OWC), die mit dem Commerce Server standardmäßig installiert werden, weisen eine Pufferüberlaufschwachstelle auf. Dadurch können Angreifer, die in der Lage sind, sich am Commerce Server zu authentifizieren und Zugriff auf das Verzeichnis haben, in dem das OWC-Paket abgelegt wurde, beliebigen Programmcode mit SYSTEM-Privilegien auf dem System ausführen.
3. Eine Schwachstelle im Installer der OWC ermöglicht am System authentifizierten Benutzern, die Zugriff auf das Verzeichnis haben, in dem das OWC-Paket liegt, beliebigen Programmcode auszuführen. Der Programmcode wird dabei mit den Privilegien des authentifizierten Benutzers ausgeführt.
4. Der AuthFilter-ISAPI-Filter weist eine weitere Pufferüberlaufschwachstelle auf. Es handelt sich dabei um eine Variante der bereits in der RUS-CERT-Meldung #716 beschriebenen Schwachstelle.

   Obwohl der AuthFilter standardmässig mit dem Microsoft Commerce Server 2000/2002 installiert wird, bleibt er bis zu einer manuellen Konfiguration über die Commerce Server Administration Console (der Microsoft Management Console (MMC)) deaktiviert. Ferner erschwert der Einsatz des URLScan-Programms in der Standardkonfiguration für den Commerce Server die Ausnützung der beschriebenen Schwachstelle zur Privilegienerweiterung. Ein Denial of Service (DoS)-Angriff über die beschriebene Schwachstelle wird durch den URLScan-ISAPI-Filter nicht verhindert.

Gegenmaßnahmen
Microsoft stellt Patches zur Verfügung:

• Microsoft Commerce Server 2000:
  http://www.microsoft.com/Downloads/Release.asp?ReleaseID=39591
• Microsoft Commerce Server 2002:
  http://www.microsoft.com/Downloads/Release.asp?ReleaseID=39550

Vulnerability ID

• CAN-2002-0620 Profile service buffer overrun
• CAN-2002-0621 OWC package buffer overrun
• CAN-2002-0622 OWC package command execution
• CAN-2002-0623 New variant of the ISAPI filter buffer overrun

Weitere Information zu diesem Thema

• Microsoft Security Bulletin MS02-033 Unchecked Buffer in Profile Service Could Allow Code Execution in Commerce Server (Q322273)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/