Mar
14

14/03/2001 Parche para el problema de IIS 5.0 con WebDAV

Recientemente informábamos de una vulnerabilidad descubierta por
Guninski y que hacía referencia a Internet Information Server con las
extensiones WebDAV, hasta el momento la única solución posible para
el problema pasaba por desactivar dichas extensiones en los sistemas
afectados. Ahora Microsoft corrige el problema y publica un parche
para cubrir la vulnerabilidad.
El pasado día 9 de marzo informábamos sobre una vulnerabilidad
descubierta por Georgi Guninski en la cual se hacía referencia a un
problema de denegación de servicios debido a la posibilidad de
reiniciar remotamente todos los servicios relacionados con IIS
mediante una petición creada de forma especial.

WebDAV es una extensión del protocolo http que permite la colaboración
remota y la administración de contenidos web. En la implementación en
Windows 2000 de este protocolo IIS 5.0 realiza el tratamiento inicial de
todas las peticiones WebDAV para luego pasar los comandos apropiados al
procesador WebDAV. Sin embargo, existe un defecto en la forma en que
WebDAV maneja un tipo particular de petición maliciosamente construida.
Si se envían diversas peticiones a un servidor afectado, podrá llegar a
provocarse el consumo de todos los recursos de la CPU disponibles.

Microsoft publicó un boletín en el que se explicaban una serie de
contramedidas consistentes en modificar los permisos de la dll encargada
de proporcionar los servicios WebDAV. Ahora, Microsoft publica una
revisión del anterior boletín junto con el parche que cubre
correctamente el problema. Además recomienda la instalación de esta
nueva actualización al cambio de permisos anteriormente indicado.

El parche puede recibirse de la siguiente dirección:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=28564

Opina sobre esta noticia:
http://www.hispasec.com/unaaldiacom.asp?id=871

Más Información:

Hispasec 9/3/2001. Denegación de servicios en IIS 5.0:
http://www.hispasec.com/unaaldia.asp?id=866

Boletín de seguridad de Microsoft (MS01-016):
http://www.microsoft.com/technet/security/bulletin/ms01-016.asp

Georgi Guninski:
http://www.guninski.com/iispropover.html

WebDAV:
http://www.webdav.org/

Antonio Ropero