Vulnerabilità Microsoft, si possono bypassare le password dei siti

Un problema del web server IIS nella gestione nei caratteri Unicode consente a un attaccante di accedere alle zone dei server Web normalmente protette da password.

[ZEUS News - www.zeusnews.it - 19-05-2009]

Bug Microsoft II6 caratteri Unicode WebDav passwor

Un bug nella versione 6 di Internet Information Services, il server Web di Microsoft, può garantire a un attaccante l'accesso alle aree di un server normalmente protette da password.

La vulnerabilità riguarda il modo in cui Iis processa i comandi basati sul protocollo WebDav e in particolare i problemi sono nella gestione dei caratteri Unicode.

Stando a quanto rivelato dallo US Computer Emergency Readiness Team, sfruttare il bug su un server vulnerabile è molto semplice. Per esempio, per accedere a un ipotetico file protetto.zip, sito nella cartella protected e teoricamente inaccessibile a chi non conosce la password, sarebbe sufficiente passare al server una stringa di questo tipo GET /..%c0%af/protected/protetto.zip HTTP/1.1 Translate: f Connection: close Host: servername.

Nonostante esistano già testimonianze circa lo sfruttamento della vulnerabilità, l'allarme non dovrebbe essere troppo esteso: solo la versione 6 di Iis è vulnerabile e, di default, WebDav non è abilitato.

Per Secunia il bug è "moderatamente critico"; Microsoft sta investigando sul problema alla ricerca di una soluzione.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Commenti all'articolo (2)

Silent Runner

...E se invece di un attaccante fosse un'ala destra? :roll:
20-5-2009 12:53

mda

un vecchio trucco che funziona ancora ? Leggi tutto
20-5-2009 11:56

Inserisci un commento - anche se NON sei registrato

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.


News(9 commenti) Lo SPID delle Poste diventa a pagamento: canone per 30 milioni di utenti, con qualche eccezione	News(6 commenti) ChatGPT, arriva la pubblicità nelle risposte

News(3 commenti)

L'iPhone 17 Pro sibila durante la ricarica, il motivo è misterioso

News(3 commenti)

Windows, stop all'attivazione via telefono. Obbligatorio il portale web

Maipiusenza(5 commenti)

Xiaomi Watch 5, l'orologio smart che legge i muscoli: per rispondere alle chiamate basta un gesto

News(4 commenti)

CPU e GPU unite. Intel e Nvidia preparano chip ibridi per PC e data center di nuova generazione

E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.

Sondaggio

D'estate che cos'è più importante per te?