Panne bei Microsofts DSL-Angebot

Im Rahmen des Online-Dienstes MSN bietet Microsoft seit einiger Zeit auch DSL-Zugänge an. Beim MSN Easysurfer hatte man das Online-Angebot von einem Dienstleister erstellen lassen. Der setzte auf seinem Windows Server 2003 mit IIS 6.0 auf die Skriptsprache PHP -- offensichtlich ohne sich Gedanken über die Sicherheit seiner Skripte zu machen. So nutzten die PHP-Skripte diverse via URL übergebene Parameter ohne jegliche Sicherheitsüberprüfung. Das Resultat: Mit geschickt präparierten URLs ließen sich beliebige Dateien des Systems zu Anzeige bringen. So band die URL

http://access.easysurfer.msn.de/index.php?PAGE=C:\windows\win.ini

die Systemdatei win.ini in die Web-Seite ein.

Nach der Benachrichtigung durch heise Security beseitigte der Betreiber ISP Service AG die genannten Probleme innerhalb einer Stunde. (ju)