CERT-FI haavoittuvuustiedote 132/2009

25.12.2009

Microsoft IIS www-palvelimessa haavoittuvuus tiedostopäätteiden käsittelyssä

Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- suojauksen ohittaminen	Lisätietoja
Ratkaisu:	- ongelman rajoittaminen	Lisätietoja

Microsoft Internet Information Services -ohjelmistosta on löydetty haavoittuvuus tiedostopäätteiden tulkitsemisessa jos tiedoston nimessä on useita puolipisteellä erotettuja päätteitä. Esimerkiksi tiedostoa

evil.asp;.jpg

käsitellään palvelimella kuten .ASP-tiedostoa.

Jos web-sovelluksessa on sallittu tiedostojen siirtäminen palvelimelle, suoritettavien tiedostojen torjuminen voi perustua tiedostopäätteeseen, ja esimerkkitapauksessa tiedoston siirtäminen sallittaisiin, koska suojauksen kannalta tiedosto näyttää olevan .jpg-kuvatiedosto.

ASP.NET-sovellukset eivät ole haavoittuvia, sillä .NET ei tunnista kuvatun kaltaista tiedostonimeä ja tuloksena on virheilmoitus.

HAAVOITTUVAT OHJELMISTOT:

• Microsoft IIS versio 6 (ei ASP.NET-sovellukset)

Käytettävissä olevien tietojen mukaan ainakin versio 6 on haavoittuva. Versio 7.5 ei ole haavoittuva. Muiden versioiden osalta haavoittuvuutta ei voi täysin sulkea pois.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Korjaavaa ohjelmistopäivitystä ei ole vielä saatavilla.

Web-sovellusten tekijät voivat rajoittaa palvelimelle siirrettävien tiedostojen nimissä sallittujen merkkien valikoimaa tai pakottaa tiedostojen nimet turvallisiksi sen sijaan, että sovelluksen käyttäjä saisi valita nimen itse.

WWW-palvelinten ylläpitäjien tulisi poistaa ohjelmien suoritusoikeudet kansioista, joihin tiedostoja voi siirtää.

LISÄTIETOA:

• http://isc.sans.org/diary.html?storyid=7810
• http://soroush.secproject.com/downloadable/iis-semicolon-report.pdf
• Microsoft Security Response Centerin blogikirjoitus aiheesta 27.12.2009
• Microsoft Security Response Centerin blogikirjoitus aiheesta 29.12.2009
• Artikkeli IIS Security -blogissa
• CVE-2009-4444
  

PÄIVITYSHISTORIA:

25.12.2009, kello 19.10: Julkaistu
28.12.2009, kello 16.00: Lisätty lisätietolinkki ja tietoja haavoittuvista versioista
30.12.2009, kello 10.40: Lisätty lisätietolinkki
30.12.2009, kello 10.45: Lisätty lisätietolinkki
1.9.2010, kello 10:11: Lisätty CVE-numero lisätietoihin

Sivua päivitetty 01.09.2010

Tulostusversio