IIS WebDAVのゼロデイ脆弱性をマイクロソフトが修正 2009年6月9日
IIS WebDAVのゼロデイ脆弱性をマイクロソフトが修正
危険度:中
2009年6月9日
【概要】
対象：
2000、XP、Server 2003のコンピュータで使用している現バージョンのIISすべて
攻撃方法：
細工したHTTP リクエストを送信
影響：
攻撃者がユーザのIISにあるパスワード保護フォルダへの制限付きアクセス権を獲得できる可能性あり
対策：
出来る限り早急に状況に適したIIS アップデートを取り入れること
【詳細】
Internet Information Services (IIS) は、様々なバージョンのWindowsに搭載されている人気のウェブ・サーバやFTPサーバのコンポーネントだ。
米国時間の6月9日、マイクロソフトは認証を迂回する脆弱性と権限昇格の脆弱性の2件についてセキュリティ情報をリリースした。この問題は2000、XP、Service 2003 などで使用している現バージョンのIISすべてに影響している。この問題は細工されたHTTPリクエストをIISのWebDAV拡張が処理する方法に関与しており、リモート攻撃者は悪質なHTTPリクエストを送信することで欠陥を悪用し、ユーザのIISサーバにあるパスワード保護フォルダに不正にアクセスする。そうすると、攻撃者はリスト、アクセス、場合によってはWebDAV フォルダにファイルをアップロードできるようになる場合もあるが、このユーザ・アカウントが持つIISサーバへのアクセス権は標準設定により制限付きのみとなっている。また、標準設定によりIISのバージョン全てがWebDAV拡張を有効にするわけではなく、ユーザのIIS サーバでWebDAV が有効になっていなかった場合、攻撃者はそれに対してこの脆弱性を悪用することはできない。
この脆弱性は、先月の『Wire post』で説明したものと同様である。
【対策】
マイクロソフトは問題を修正するパッチをリリースしているので、できる限り早急に状況に適したIIS Serverパッチをダウンロードし、テストしてから取り入れることをすすめる。
日本語版をダウンロードするには「Change Language」のドロップダウン・メニューから「Japanese」を選択：
ウォッチガード・ユーザ：
この種の攻撃は、ユーザがインターネットへアクセスできるようにするには許可しておかなければならない通常のHTTPトラフィックに見せかけた状態で移動するため、先に説明したパッチをインストールすることが主な対策となる。
【ステータス】
マイクロソフトは問題を修正するパッチをリリースしている。
【参考資料】
この記事はコーリー・ナクライナー（Corey Nachreiner, CISSP）により調査・執筆されました。
危険度:中
2009年6月9日
【概要】
対象：
2000、XP、Server 2003のコンピュータで使用している現バージョンのIISすべて
攻撃方法：
細工したHTTP リクエストを送信
影響：
攻撃者がユーザのIISにあるパスワード保護フォルダへの制限付きアクセス権を獲得できる可能性あり
対策：
出来る限り早急に状況に適したIIS アップデートを取り入れること
【詳細】
Internet Information Services (IIS) は、様々なバージョンのWindowsに搭載されている人気のウェブ・サーバやFTPサーバのコンポーネントだ。
米国時間の6月9日、マイクロソフトは認証を迂回する脆弱性と権限昇格の脆弱性の2件についてセキュリティ情報をリリースした。この問題は2000、XP、Service 2003 などで使用している現バージョンのIISすべてに影響している。この問題は細工されたHTTPリクエストをIISのWebDAV拡張が処理する方法に関与しており、リモート攻撃者は悪質なHTTPリクエストを送信することで欠陥を悪用し、ユーザのIISサーバにあるパスワード保護フォルダに不正にアクセスする。そうすると、攻撃者はリスト、アクセス、場合によってはWebDAV フォルダにファイルをアップロードできるようになる場合もあるが、このユーザ・アカウントが持つIISサーバへのアクセス権は標準設定により制限付きのみとなっている。また、標準設定によりIISのバージョン全てがWebDAV拡張を有効にするわけではなく、ユーザのIIS サーバでWebDAV が有効になっていなかった場合、攻撃者はそれに対してこの脆弱性を悪用することはできない。
この脆弱性は、先月の『Wire post』で説明したものと同様である。
【対策】
マイクロソフトは問題を修正するパッチをリリースしているので、できる限り早急に状況に適したIIS Serverパッチをダウンロードし、テストしてから取り入れることをすすめる。
日本語版をダウンロードするには「Change Language」のドロップダウン・メニューから「Japanese」を選択：
- IIS 5.0 Windows 2000対象
- IIS 5.1 Windows XP対象
- IIS 6.0 Windows XP x64対象
- IIS 6.0 Windows Server 2003対象
- IIS 6.0 Windows Server 2003 x64対象
- IIS 6.0 Windows Server 2003 Itanium-Edition対象
ウォッチガード・ユーザ：
この種の攻撃は、ユーザがインターネットへアクセスできるようにするには許可しておかなければならない通常のHTTPトラフィックに見せかけた状態で移動するため、先に説明したパッチをインストールすることが主な対策となる。
【ステータス】
マイクロソフトは問題を修正するパッチをリリースしている。
【参考資料】
- マイクロソフトのセキュリティ情報：MS09-020
この記事はコーリー・ナクライナー（Corey Nachreiner, CISSP）により調査・執筆されました。