Sicherheitsloch in Microsofts Webserver IIS
Eine Sicherheitslücke in Microsofts Webserver Internet Information Server erlaubt den Zugriff auf beliebige Dateien.
In einem Security Bulletin weist Microsoft auf eine Sicherheitslücke im hauseigenen Webserver Internet Information Server (IIS) in den Versionen 4.0 und 5.0 hin. Sie ermöglicht es, über spezielle URLs beliebige Dateien auf dem Laufwerk des Web-Servers zu lesen, zu ändern oder auch auszuführen.
Mit Hilfe einer langen Unicode-Darstellung der Zeichen "/" und "\" ist es möglich, Pfadangaben in die URL einzubauen, die auf Dateien außerhalb des Web-Folders verweisen. Dabei kommen die Prüfroutinen, die solche Zugriffe unterbinden sollen, nicht zum Einsatz. So ist es beispielsweise möglich, über "cmd.exe" auf dem Rechner beliebige Kommandos auszuführen. Dies geschieht im Sicherheitskontext des Accounts IUSR_machinename, der für anonyme IIS-User vorgesehen ist.
Adminstratoren von IIS 4.0 oder 5.0 sollten unbedingt die im Bulletin aufgeführten Patches einspielen. Nur wer bereits den Patch aus dem Microsoft Security Bulletin MS00-057 installiert hat, ist von dem Problem nicht betroffen. Außerdem stellt Microsoft kostenlose Tools bereit, mit denen Administratoren überprüfen können, ob auf ihrem IIS alle aktuellen Sicherheits-Patches installiert sind. (ju)
