Отказ в обслуживании в Microsoft IIS FTP Server

Дата публикации:
04.09.2009
Дата изменения:
14.10.2009
Всего просмотров:
1883
Опасность:
Низкая
Наличие исправления:
Да
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
Нет данных
Вектор эксплуатации:
Удаленная
Воздействие:
Отказ в обслуживании
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
Microsoft Internet Information Services (IIS) 5.x
Microsoft Internet Information Services (IIS) 6.x
Microsoft Internet Information Services (IIS) 7.x
Уязвимые версии:
Microsoft Internet Information Services (IIS) 5.0
Microsoft Internet Information Services (IIS) 5.1
Microsoft Internet Information Services (IIS) 6.0
Microsoft Internet Information Services (IIS) 7.0

Описание:
Уязвимость позволяет удаленному пользователю вызвать отказ в обслуживании приложения.

Уязвимость существует из-за ошибки при обработке запросов рекурсивного списка директорий. Удаленный авторизованный пользователь может с помощью специально сформированного запроса, содержащего символы "*", вызвать переполнение стека и аварийно завершить работу FTP сервера. Для удачной эксплуатации уязвимости требуется, чтобы хотя бы одна директория находилась в корневой директории FTP сервера. Пример:
ftp> ls "-R t*/../test"

URL производителя: www.microsoft.com

Решение: Установите исправление с сайта производителя.

-- Microsoft Internet Information Services 5.0 --

Microsoft Windows 2000 SP4:
http://www.microsoft.com/downloads/details.aspx?familyid=7fecd367-aaff-458b-91bc-8925c8e57528

-- Microsoft Internet Information Services 5.1 --

Windows XP SP2/SP3:
http://www.microsoft.com/downloads/details.aspx?familyid=2ae0bdd4-f8b2-420a-b1ac-d2cdaa87c828

Windows XP Professional x64 Edition SP2:
http://www.microsoft.com/downloads/details.aspx?familyid=819dd2d1-cad5-4784-9baf-185d8a76df5d

-- Microsoft Internet Information Services 6.0 --

Windows Server 2003 SP2:
http://www.microsoft.com/downloads/details.aspx?familyid=48256ea3-b433-4e84-9019-22300069cfc1

Windows Server 2003 x64 Edition SP2:
http://www.microsoft.com/downloads/details.aspx?familyid=61bded07-201e-4815-ac1e-468bf907e063

Windows Server 2003 with SP2 for Itanium-based Systems:
http://www.microsoft.com/downloads/details.aspx?familyid=b99d4d9b-e0cc-4a8c-ad99-6a53958b37c8

-- Microsoft Internet Information Services 7.0 (FTP Service 6.0) --

Windows Vista (опционально с SP1/SP2):
http://www.microsoft.com/downloads/details.aspx?familyid=bb96eb1c-66a2-4276-9773-eea22179bcd4

Windows Vista x64 Edition (опционально с SP1/SP2):
http://www.microsoft.com/downloads/details.aspx?familyid=bce096c8-833b-45c8-99cd-1280f0744f2f

Windows Server 2008 for 32-bit Systems (опционально с SP2):
http://www.microsoft.com/downloads/details.aspx?familyid=d9c5039f-d0cf-4d84-850f-f2f7701dcb79

Windows Server 2008 for x64-based Systems (опционально с SP2):
http://www.microsoft.com/downloads/details.aspx?familyid=db969ddc-708e-42b7-9956-6c27bf346bbb

Windows Server 2008 for Itanium-based Systems (опционально с SP2):
http://www.microsoft.com/downloads/details.aspx?familyid=a221451a-cb4e-4a43-a225-4b1e86e87525

Журнал изменений:

14.10.2009
Изменена секция «Решение», добавлена ссылка на бюллетень безопасности производителя.

Ссылки: (MS09-053) Vulnerabilities in FTP Service for Internet Information Services Could Allow Remote Code Execution (975254)
http://archives.neohapsis.com/archives/fulldisclosure/2009-09/0040.html
http://www.microsoft.com/technet/security/advisory/975191.mspx

или введите имя

CAPTCHA