Microsoft Confirma Brecha no IIS

A Microsoft confirmou uma brecha de segurança em seu servidor Web IIS, mas não identificou quais versões desse produto foram afetadas. De acordo com o descobridor da falha "semi-colon bug", as versões atuais, inclusive a versão 6 desse produto estão vulneráveis; A brecha permite que os atacantes, por exemplo, possam camuflar arquivos ASP executáveis como inofensivos arquivos JGEPs, e efetuar o upload de código malicioso para um servidor.

O MSRC [2] (Microsoft's Security Response Center) da empresa informa que a vulnerabilidade está sendo investigada, e que até o momento não foi encontrada evidência de nenhum atacante explorando de forma ativa essa falha, com o intuito de comprometer um servidor. De acordo com o fabricante, as condições requeridas representam um obstáculo para ataques bem sucedidos: os atacantes precisam se autenticar em um servidor e possuir privilégios de leitura e upload para um diretório que, por sua vez, deve permitir a execução de código.

Embora essas condições não estejam presentes em qualquer instalação padrão, as opiniões sobre os níveis de riscos variam consideravelmente. A empresa de segurança Secunia, considera essa vulnerabilidade como uma ameaça moderada, O Internet Storm Center (ISC) classificou o problema como crítico, e recomendou que os usuários afetados tomem medidas de precaução adicionais, até que um patch de correção esteja disponível. Um plano de oito regras básicas [3] compilado pelo ISC está disponível. Em sua primeira resposta para essa vulnerabilidade, a Microsoft também sugeriu vários links para instruções de como garantir a segurança do servidor.


Saiba Mais:

[1] Heise Online: http://www.h-online.com/security/new...le-893413.html
[2] Security Response Center: http://blogs.technet.com/msrc/default.aspx
[8] Oito Regras Básicas da ISC: https://blogs.sans.org/appsecstreetf...-file-uploads/