Falha grave encontrada no IIS – Webdav
A Microsoft divulgou uma falha no IIS 5, 5.1 e 6 (IIS 7 está ok!) para quem possui o WebDav habilitado. O WebDav permite que usuários remotos possam acessar e editar documentos em um servidor Web.
A vulnerabilidade pode permitir que acessos anônimos (sem autenticação) o invasor pode contornar as permissões e ter acesso ao servidor. Ao enviar uma requisição HTTP especialmente criada para o servidor, o invasor é capaz de visualizar e fazer o upload de arquivos para a máquina. O ataque tira vantagem de um bug na forma como o IIS 6 processa tokens Unicode. O problema que esse exploit já se tornou público. Somente sistemas que têm WebDav ativado são afetados por essa vulnerabilidade.
Portando, é de extrema importância quem possui Webdav habilitado, e não utiliza, desative-o. Se não pode desativar, utiliza o URLSCan para ajudar a efetuar segurança no IIS. Se o site utiliza autenticação baseada em formulários, provavelmente você não terá problemas.
Você está seguro se:
- Servidor de IIS não possui o Webdav instalado.
- Servidor de IIS está com o Webdav desabilitado (no IIS 6 já vem desabilitado por padrão).
- Servidor de IIS não permitir acesso aos arquivos do sistema ao grupo IUSR_[NomedaMáquina].
- Servidor de IIS hospeda somente aplicações utilizando formulários com autenticação.
Atualmente não há correção para essa vulnerabilidade. Maiores informações:
http://www.microsoft.com/technet/security/advisory/971492.mspx