Nuevo fallo crítico en Internet Information Services (IIS)

La vulnerabilidad podría permitir a un hacker superar las medidas de seguridad existentes y cargar código malicioso en cualquier máquina infectada.

Expertos en seguridad advierten de una nueva vulnerabilidad crítica ‘Dia Cero’ en Microsoft Internet Information Services (IIS) que podría permitir a un hacker superar las medidas de seguridad existentes y cargar código malicioso en cualquier máquina infectada.

La vulnerabilidad afecta a IIS 6 y versiones anteriores, aunque todavía se debe comprobar la versión IIS 7 y la versión ISS 7.5 es segura. Los expertos explican que ISS puede ejecutar cualquier extensión como un ‘Active Server Page’ o cualquier otra extensión ejecutable. La mayoría de los cargadores de archivos protegen el sistema comprobando únicamente la última sección del nombre de archivo y su extensión, por lo que utilizando esta vulnerabilidad un atacante podría superar esta protección y cargar un archivo ejecutable peligroso en el servidor, como por ejemplo “malicious.asp;.jpg”.

La empresa de seguridad Secunia ha calificado el fallo como de ‘poco crítico’, el segundo grado de seguridad, pero hay quien lo ha elevado a ‘muy crítico’ al afirmar que el impacto de la vulnerabilida podría ser extremadamente elevado. También se afirma que la mayoría de las aplicaciones web son vulnerables contra los ataques de carga de archivos porque esta es una debilidad de IIS.

Todas las informaciones indican que Microsoft está investigando esta vulnerabilidad
Fuente

En cualquier caso mejor actualizar a la última version existente…

saludos

ms, 28-12-2009