Dos vulnerabilidades en Microsoft IIS permiten denegación de servicio

Esta semana se han dado a conocer dos vulnerabilidades en Internet
Information Server que permiten provocar una denegación de servicio
y revelar información del sistema.

El primer fallo se trata de un error por falta de filtrado de los
parámetros de entrada que podría permitir revelar el nombre de archivos
y directorios existentes en el servidor. IIS permite utilizar el
carácter “~” para conocer los nombres cortos de archivos y carpetas. Un
atacante podría llegar a encontrar ficheros no visibles en servidores
web.

Los nombres cortos 8:3 es una infame herencia de los tiempos DOS, en los
que los nombres de fichero no podían superar los ocho caracteres más
tres de extensión. Hoy en día todavía es posible acceder a un fichero
utilizando esta nomenclatura.

http://2.bp.blogspot.com/-5kL0FHun57E/T_SOMcIVX2I/AAAAAAAAAn4/ovwzTECzFCI/s1600/Vuln_IIS_1.png

En principio, en IIS no es posible usar el nombre corto y tanto si el
fichero se encuentra como si no, se generará un error. Cuando se
solicita un nombre acortado con comodines, el servidor intentará
acceder. El problema es que si lo encuentra, el servidor responderá con
un error “404” y si no, un “400” (Bad request). Jugando con estas dos
respuestas, se pueden llegar a inferir nombres de ficheros existentes
(tomando una respuesta como “éxito” y otra como “fracaso”) hasta
comprobar la existencia de ficheros.

http://3.bp.blogspot.com/-qz7oXLdSZmw/T_SOVsNuf8I/AAAAAAAAAoA/zH7DKPTLpzU/s1600/Vuln_IIS_2.png

http://2.bp.blogspot.com/-CAwsYiHXUWE/T_SOpPuF2GI/AAAAAAAAAoI/B6MoZjzRNPU/s1600/Vuln_IIS_3.png

http://1.bp.blogspot.com/-jkm-qiZG8aA/T_SOz9P-fVI/AAAAAAAAAoQ/xz26_v2WAjs/s1600/Vuln_IIS_4.png

La prueba de concepto hecha pública permite por fuerza bruta, socavar
información sobre ficheros en el servidor, de forma automatizada. Sin
duda, esta prueba de concepto será incorporada a programas de
recopilación de información usados en los test de intrusión.

El documento publicado propone además ideas sobre cómo eludir otras
protecciones. Para solucionarlo se aconseja filtrar el uso de comodines
“*” en la URL, y deshabilitar de la creación de nombres cortos. En 2005
se publicó un fallo que también usaba el carácter “~” en IIS, y que
permitía la ejecución de código (CVE-2005-4360).

Se habla en el documento también sobre otra vulnerabilidad de denegación
de servicio encontrada en IIS, descubierta (como el resto de los errores
descritos) en 2010, pero que todavía no ha sido corregida y que, por
tanto, no han publicado.

Por otro lado, se ha difundido otra prueba de concepto que permite una
denegación de servicio en IIS a través de su servidor FTP (que en
principio no tendría nada que ver con la investigación anterior).
Enviando una serie de caracteres especialmente manipulados además de
múltiples comandos FTP en paralelo, se consigue que el servidor consuma
toda la CPU del sistema y deje de responder.
 Fuente