حفره امنیتی جدید در IIS

روز دوشنبه 9 شهریور، برنامه نمونه ای که امکان دسترسی غیرمجاز به سرویس دهنده های IIS مایکروسافت را  فراهم می کند، بر روی اینترنت منتشر شد.

به فاصله یک روز، شرکت مایکروسافت با انتشار هشداری امنیتی، ضمن تأیید وجود حفره امنیتی در نرم افزار IIS و امکان سوءاستفاده از آن، راه حل های موقتی برای جلوگیری از آن ارائه کرد. در این هشدار مایکروسافت، قول ارائه سریع اصلاحیه ای برای ترمیم این حفره امنیتی داده شد. سه شنبه این هفته (17 شهریور) نوبت ماهانه برای انتشار اصلاحیه های امنیتی جدید برای ماه میلادی سپتامبر است. آیا اینکه فرصت کافی تا روز سه شنبه برای تهیه و کنترل کیفیت اصلاحیه ای جدید، وجود دارد، باید تا آن موقع منتظر ماند.

برنامه نمونه مخربی که هفته گذشته منتشر شد، روش مطمئن و موفقی برای نفوذ به سرویس دهنده های IIS نسخه 5 و اجرای برنامه های غیرمجاز بر روی آن است. نقطه ضعف امنیتی در نرم افزار ftp است که در IIS بکار گرفته شده و به دلیل نحوه بکارگیری آن در نسخه IIS 5، در این نسخه، نقطه ضعف از درجه خطر بالاتری برخوردار است. میزان خطر و احتمال سوءاستفاده از این نقطه ضعف در نسخه IIS 6 کمتر بوده و در نسخه IIS 7، در صورتیکه سرویس ftp فعال نباشد، خطری از این بابت وجود ندارد.

در نسخه های آسیب پذیر IIS 5 و IIS 6 نیز، در صورتیکه در سرویس ftp به کاربران Untrusted اجازه نوشتن (Write Access) داده نشده باشد، خطری این نسخه ها را نیز تهدید نمی کند. بطور پیش فرض، در سرویس دهنده های IIS، کاربران ftp این مجوز را ندارند. گرچه تا کنون گزارشی از سوءاستفاده از این حفره امنیتی دریافت نشده است، ولی بسیاری از شرکت ها و کارشناسان امنیتی، بهره برداری قریب الوقوع از این نقطه ضعف را پیش بینی می کنند. یکی از دلایل این پیش بینی،  آماری است که چند ماه گذشته از تعداد سرویس دهنده های IIS بر روی اینترنت منتشر شد.

طبق این آمار، هنوز بیش از 8/2 میلیون سایت اینترنتی از نسخه قدیمی IIS 5 استفاده می کنند. ولی مشخص نیست که چه تعدادی از این سایت ها، سرویس ftp را فعال کرده اند.

هشدار امنیتی مایکروسافت در این نشانی قابل دسترسی و مطالعه است.