هشدار امنیتی مایکروسافت برای IIS

شرکت مایکروسافت یک هشدار امنیتی درباره نقطه ضعف جدیدی در نرم افزار IIS یا Internet Information Services منتشر کرده و ضمن تأیید آن، راهنمایی و توضیحات مفیدی به مدیران شبکه ارائه کرده است.

نقطه ضعف مورد بحث در نحوه پردازش درخواست های http توسط بخش WebDAV نرم افزار IIS است. فرد نفوذگر می تواند با ارسال یک درخواست http مخرب، مجوز دسترسی محدود به سرور Web را ارتقا داده و به قسمت هایی از سرور که بطور عادی نیاز به «تأیید اصالت» (Authentication) دارد، به راحتی دسترسی پیدا کند.

نسخه های 5.0 و 5.1 و 6.0 نرم افزار IIS دارای این نقطه ضعف هستند. ولی جدید ترین نسخه IIS 7.0 بر روی سیستم عامل Win Server 2008 فاقد این ضعف است. این نقطه ضعف زمانی شناسایی شد که یک نفوذگر به نام Kingcope اقدام به انتشار عمومی جزئیات این نقطه ضعف جدید بر روی برخی سایت ها کرد.

ذکر چند نکته درباره این نقطه ضعف و دامنه تأثیرات آن ضروری است:
– امکانات بخش WebDAV در تمام سایت ها اعمال می شود و امکان فعال سازی آن برای هر سایت بطور جداگانه وجود ندارد.
– بخش WebDAV در نسخه IIS 6.0 بر روی سیستم عامل Win Server 2003 بطور پیش فرض فعال نیست.
– در صورت سوءاستفاده و نفوذ به سرور از طریق این نقطه ضعف، Access Control List در سیستم عامل همچنان فعال بوده و میزان دسترسی فرد نفوذگر به عنوان anonymous User براساس این لیست کنترل می شود.
– بیشترین احتمال برای سوءاستفاده از این نقطه ضعف، بصورت کاربر anonymous وجود دارد و خوشبختانه این نوع کاربر فقط مجوز دسترسی Read-Only به فایل ها خواهد داشت.
– بیشترین تهدید متوجه سیستم هایی است که از مجوزهای IIS برای محدود کردن دسترسی به زیر شاخه (Sub-directory)های داخل یک شاخه (directory) که قابل دسترسی توسط کاربر anonymous است، استفاده می شود.

اطلاعات بیشتر و هشدار امنیتی مایکروسافت را می توانید در این نشانی مطالعه کنید.