RNP > Serviços > Segurança em redes > Alertas do CAIS

Vulnerabilidade no Microsoft IIS

Microsoft Security Bulletin MS06-034

[CAIS, 12.07.2006-11:00, revisão 01]

O CAIS está repassando o alerta da Microsoft, intitulado "MS06-034 - Vulnerability in Microsoft Internet Information Services using Active Server Pages Could Allow Remote Code Execution (917537)", que trata de uma vulnerabilidade no IIS (Microsoft Internet Information Services).

ASP (Active Server Pages) é uma tecnologia de scripts executados no servidor Web IIS que permite a criação de páginas Web dinâmicas e interativas.

A vulnerabilidade em questão existe devido a um buffer não verificado do IIS. Ela pode ser explorada caso um atacante crie um arquivo ASP malicioso e seja capaz de copiá-lo para o sistema que abriga o servidor Web com IIS vulnerável.

A exploração com sucesso desta vulnerabilidade permite que o atacante obtenha controle total sob o sistema afetado.

Sistemas afetados:

• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Professional Service Pack 1
• Microsoft Windows XP Professional Service Pack 2
• Microsoft Windows XP Professional x64 Edition
• Microsoft Windows Server 2003
• Microsoft Windows Server 2003 Service Pack 1
• Microsoft Windows Server 2003 para sistemas baseados Itanium
• Microsoft Windows Server 2003 com Service Pack 1 para sistemas baseados Itanium
• Familia Microsoft Windows Server 2003 x64 Edition

Correções disponíveis:

Recomenda-se fazer a atualização para as versões disponíveis em:

• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Professional Service Pack 1
• Microsoft Windows XP Professional Service Pack 2
• Microsoft Windows XP Professional x64 Edition
• Microsoft Windows Server 2003
• Microsoft Windows Server 2003 Service Pack 1
• Microsoft Windows Server 2003 para sistemas baseados em Itanium
• Microsoft Windows Server 2003 com Service Pack 1 para sistemas baseados em Itanium
• Família Microsoft Windows Server 2003 x64 Edition

Mais informações:

• MS06-034 - Vulnerability in Microsoft Internet Information Services (917537)
• Microsoft Brasil Security
• Technet Brasil - Central de Segurança

Identificador CVE (http://cve.mitre.org): CVE-2006-0026

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

O CAIS Alerta também é oferecido no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais