Questi due sorgenti sono la causa di una anomalia di funzionamento che
consente ad un aggressore di visualizzare il contenuto di altri file, anche di
sistema, esterni alla gerarchia di directory del server Web. Gli script
codebrws.asp e showcode.asp vengono installati soltanto nell'ipotesi in cui
durante l'installazione di IIS 4 venga richiesta anche l'installazione degli
script ASP di esempio.
Il problema risiede nella mancanza di un controllo sui
parametri della URL ed, in particolare, nella incapacità di gestire
correttamente l'uso di ".." nella impostazione del path del file.
Sfruttando
questa debolezza risulta possibile ottenere la visualizzazione ad esempio del
file di sistema boot.ini mediante semplice una URL: http://www.target.com/msdac/sample/
SELECTOR/showcode.asp=source=/../../../../../boot.ini
L'uso di questo stratagemma comunque incontra delle limitazioni nel senso che
esso:
- consente soltanto la visualizzazione dei file e non la loro modifica;
- non è in grado di bypassare l'esistenza di eventuali access control list
(ACL); - funziona soltanto relativamente ai file presenti all'interno della
partizione dove risiede IIS; - presuppone la conoscenza da parte dell'aggressore della locazione esatta dei
file;
Rimedi:
La soluzione a quest'exploit è l'istallazione
di una patch per ISS recuperabile sul sito http://www.microsoft.com/technet/security/bulletin/ms99-013.asp.
