Webové servery na Windows 2000 v ohrožení

Kritická záplata na Windows 2000 opravuje chybu ve WebDAV, která umožňuje útočníkům spustit libovolný kód na počítači. Na internetu již kolují kódy pro zneužití této chyby.
Protokol WebDAV (World Wide Web Distributed Authoring and Versioning) slouží k editaci dokumentů a správě souborů přes rozšíření běžného protokolu HTTP. Jedna z komponent Windows využívající WebDAV obsahuje neošetřený buffer, který může útočník zneužít a spustit svůj vlastní kód. Útočníkovi stačí zadat vhodně formulovaný http požadavek na server a jeho kód se může spustit v kontextu webového serveru IIS, tedy obvykle LocalSystem s vysokými právy. Protože požadavek je normální http přes port 80, ve chvíli, kdy tam běží IIS a WebDAV zapnutý, je tento server zranitelný. WebDAV je implicitně zapnutý při instalaci IIS 5.0, je ale velmi doporučováno jej vypnout, pokud jej nepotřebujete. V jeho implementaci byly již problémy v minulosti, takže preventivní opatrnost je na místě.

Záplata je určená pouze pro Windows 2000, starší ani novější systémy s tím problém nemají. Microsoft ale mimo samotné záplaty uvádí i řadu různých možností, jak problém vyřešit bez instalace nějakých záplat či programů na server. Doporučuje například omezení bufferu pro URL na menší délku pomocí změny v registrech.

Příslušný Security Bulletin byl vydán včera večer, instalace záplaty je vřele doporučována. Přesně toto je totiž typ děr, které jsou snadno a účinně zneužitelné červy. I v případě, že máte zdánlivě z venku nedostupný web server (třeba za firemním firewallem), je oprava důležitá. Už několikrát se ukázalo, že červi dokáží proniknout i za tuto zdánlivě bezpečnou hranici.

Diskuze (112) Další článek: CeBIT 2003: Blu-ray u Panasonicu

Témata článku: Microsoft, Windows, Servery, Opatrnost, Ohrožení, Firemní firewall


Určitě si přečtěte

V doupěti hackerů na brněnské FIT: Ukázali nám útoky na Bluetooth i vlastní chytré krabičky

V doupěti hackerů na brněnské FIT: Ukázali nám útoky na Bluetooth i vlastní chytré krabičky

** Internet je plný malwaru, to už dnes ví každý ** Víte ale, že lze útočit třeba i na Bluetooth? ** Navštívil jsem hackery z brněnského FITu

Jakub Čížek | 1

PortraitPro: Vyzkoušeli jsme program, který prý udělá z každé „žáby“ krasavici

PortraitPro: Vyzkoušeli jsme program, který prý udělá z každé „žáby“ krasavici

** V digitálním světě nemůžete věřit všemu ** Nová generace 3D fotoeditorů zvládne divy ** Vyzkoušeli jsme PortraitPro, který vám změní i kontaktní čočky

Jakub Čížek | 10

Byli tam! Důkazy o přistání na Měsíci, Lunochody i čínská sonda jsou vidět z vesmíru

Byli tam! Důkazy o přistání na Měsíci, Lunochody i čínská sonda jsou vidět z vesmíru

** Sonda LRO pořídila z oběžné dráhy Měsíce zajímavé snímky ** Jsou na nich vidět artefakty všech misí programu Apolla, které přistály na povrchu Měsíce ** Jde například o části lunárních modulů, rovery a dokonce i vlajky

Petr Kubala | 65


Aktuální číslo časopisu Computer

Jak vytvořit a spravovat vlastní web

Velký test herních klávesnic a DVB-T2 tunerů

Vše o formátu RAW

Vybíráme nejlepší základní desku