Avis du CERT-FR
Objet : Vulnérabilité sous Microsoft IIS (Extensions FrontPage)
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Déni de service
Systèmes affectés
- Microsoft Internet Information Server 4.0 ;
- Microsoft Internet Information Server 5.0.
Résumé
Un utilisateur distant mal intentionné peut, par le biais de formulaires habilement renseignés, entraîner un déni de service sur un serveur IIS.
Description
Les extensions FrontPage (FPSE) sont installées par défaut sur les versions 4.0 et 5.0 d'Internet Information Server. Ces extensions sont censées faciliter le développement et la gestion d'un site sous IIS.
Par le biais d'une vulnérablité présente dans la gestion des formulaires Web, un utilisateur mal intentionné peut provoquer un déni de service, obligeant un redémarrage du serveur par l'administrateur sur la version 4.0, et un redémarrage automatique sur la version 5.0.
Un site ne possédant pas de formulaire dans son arborescence est également vulnérable si les extensions FrontPage ont été installées.
Contournement provisoire
Désactiver les extensions FrontPage.
Solution
Télécharger le correctif correspondant à la version d'IIS (Version US).
Microsoft IIS version 4.0 :
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=26704
Microsoft IIS version 5.0 :
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=26277
Documentation
-
Bulletin de sécurité Microsoft :
http://www.microsoft.com/technet/security/bulletin/MS00-100.asp
Gestion détaillée du document
| Date | Description |
|---|---|
| 28 décembre 2000 | version initiale. |