Avis du CERT-FR
Objet : Vulnérabilité des Extensions FrontPage de Microsoft IIS
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire avec les privilèges d'un utilisateur normal voire de system
Systèmes affectés
Internet Information Server 4.0 et 5.0, installé sur les serveurs Windows NT et 2000, ayant les Extensions FrontPage activées.
Résumé
Une vulnérabilité d'un composant des Extensions FrontPage permet à un utilisateur mal intentionné d'exécuter du code à distance.
Description
Visual Studio RAD est un composant de Microsoft FrontPage Extensions qui n'est pas installé par défaut.
Un utilisateur distant mal intentionné, peu à l'aide d'une URL habilement conçue, effectuer un débordement de mémoire dans ce composant lui permettant d'exécuter du code avec les privilèges d'un utilisateur normal, ou bien ceux de SYSTEM.
Ces commandes sont exécutées dans le contexte de sécurité d'un utilisateur, ou bien du système, ce qui permet à l'utilsateur d'effectuer n'importe quelle action sur le serveur.
Contournement provisoire
Visual Studio RAD est un outils de développement des objets COM : Il ne faut pas installer Visual Studio RAD sur une machine en production.
Rendre non exécutable les librairies Dynamiques :
Program Files\Common Files\Microsoft Shared\Web Server Extensions\40\ISAPI\_vti_aut\fp30reg.dll
et
Program Files\Common Files\Microsoft Shared\Web Server Extensions\40\bin\fp4areg.dll.
Solution
Appliquer le correctif Microsoft pour les versions Anglaises et Américaines :
-
Pour Windows 2000 :
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=30727 -
Pour Windows NT 4.0 :
http://www.microsoft.com/Downloads/Release.asp?ReleaseID31038
Documentation
-
Bulletin de sécurité Microsoft :
http://www.microsoft.com/technet/security/bulletin/ms01-035.asp
Gestion détaillée du document
| Date | Description |
|---|---|
| 26 juin 2001 | version initiale. |