IIS 6 Pag-atake Puwede Hayaan Hacker Snoop sa Server

Ang mga vendor ng seguridad ay nagbababala sa mga gumagamit ng Internet Information Services ng Microsoft 6 Software ng web-server na ang isang bagong online na atake ay maaaring ilagay ang kanilang data sa peligro.

Ang lamat ay ginawa pampublikong Huwebes, kapag ang security researcher na si Nikolaos Rangos ay naglagay ng mga detalye ng kahinaan sa buong listahan ng seguridad ng pagsisiwalat ng Pagsisiwalat. Sa pamamagitan ng pagpapadala ng isang espesyal na ginawa HTTP kahilingan sa server siya ay able sa tingnan at mag-upload ng mga file sa makina. Ang pag-atake ay tumatagal ng bentahe ng isang bug sa paraan na ang software ng Microsoft ay nagpoproseso ng mga token ng Unicode, sinabi niya.

Ang kahinaan ay ginagamit sa pag-atake sa online, sinabi ng US Computer Emergency Response Team. alisin ang malware mula sa iyong Windows PC.

Sa isang pahayag, sinabi ng Microsoft na hindi pa ito nakarinig ng anumang naturang pag-atake, ngunit sinisiyasat nito ang mga claim ng Rangos. "Kami ay nagtatrabaho sa isang advisory sa seguridad upang magbigay ng mga customer na may gabay," sinabi ng kumpanya Lunes.

Ang bug ay nakakaapekto sa mga gumagamit ng IIS 6 na pinagana ang WebDAV (Web-based na Distributed Authoring at Versioning) na mga protocol, na ginagamit upang magbahagi ng mga dokumento sa pamamagitan ng ang Web.

Nagbibigay ito ng mga attackers ng isang paraan upang tingnan ang protektadong mga file sa server nang walang pahintulot at maaari itong magamit upang mag-upload ng mga file pati na rin, ayon kay Thierry Zoller, independiyenteng tagapagpananaliksik ng seguridad na nagpatunay ng mga natuklasan ni Rangos. Subalit, sinabi ni Zoller na wala siyang paraan upang magamit ang kapintasan upang magpatakbo ng hindi awtorisadong software sa isang server ng IIS.

Sinabi ni Zoller na ang IIS 5 at IIS 7 ay hindi lilitaw na masusugatan sa pag-atake, ngunit maaaring makaapekto ito sa iba pang Microsoft mga produkto na gumagamit ng teknolohiya ng WebDAV. "Mas mahusay na ligtas kaysa sa paumanhin," sinabi niya sa pamamagitan ng instant message, "Pansamantalang pansamantala ang WebDAV at maghintay para sa Microsoft na mag-patch."

Sa isang pakikipanayam sa e-mail, sinabi ni Rangos na kahit na pinagana ang WebDAV, tumatakbo ang Exchange Server sa IIS 6 at Ang SharePoint Server ay hindi naapektuhan ng lamat.

Cisco tunog ng isang katulad na babala. "Ang mga tagapangasiwa ng mga site na nagho-host ng sensitibong impormasyon sa mga server ng IIS na gumagamit ng WebDAV ay pinayuhan na ilagay ang mga epektibong mga mitigasyon sa lugar kaagad dahil magagamit ang pampublikong code," sinabi ng kumpanya sa isang alerto sa seguridad na nai-post sa Web site nito.