Vulnerabilidad en el FTP de Microsoft IIS 5 permite ejecución de código


Kingcope (quien también descubrió el reciente fallo Webdav en IIS) ha publicado (sin previo aviso al fabricante) un exploit funcional que permite a un atacante ejecutar código con permisos de SYSTEM en un servidor IIS 5.x (Internet Information Services) siempre que tenga el FTP habilitado y accesible. En la versión 6.x, el exploit sólo permite provocar una denegación de servicio.





Microsoft engloba dentro del "paquete" IIS, entre otros, al conocido servidor web IIS y un servidor FTP que no se instala por defecto en ningún caso. La versión 5.x de IIS se encuentra sólo en servidores Windows 2000. Windows 2003 venía con IIS 6.x y Windows 2008 con la rama 7.x. Estrictamente hablando, no se trata de un 0 day, puesto que el fallo no ha sido detectado en ataques reales a sistemas. No se tiene constancia de que esté siendo aprovechado para vulnerar servidores.

El problema es grave, puesto que permite a cualquier usuario con permisos de escritura en el FTP ejecutar código en el sistema con los máximos privilegios. Básicamente, si el atacante puede hacer un MKDIR por FTP (crear un directorio), el servidor completo podría quedar comprometido si se trata de un IIS 5.x y provocar que deje de responder si es un IIS 6.x. El fallo reside en un desbordamiento de memoria intermedia en el comando NLST del servidor FTP.

El exploit publicado por Kingcope (muy sencillo de usar) crea un usuario con privilegios de administrador, pero offensive-security.com lo ha mejorado para que enlace una consola a un puerto y poder así acceder más fácilmente al servidor comprometido. No era trivial puesto que por la naturaleza del fallo, el espacio para inyectar el shellcode (código máquina que contiene las instrucciones que el atacante ejecuta gracias a la vulnerabilidad) no es demasiado extenso (unos 500 bytes).

Se recomienda a los administradores de servidores Windows con IIS y el servidor FTP habilitado, que eliminen los permisos de escritura a todos lo usuarios que tengan acceso a él. El problema se agrava si el servidor permite escribir a usuarios anónimos. Ya existe un script de nmap que permite buscar servidores con estas características. Microsoft ha reconocido la vulnerabilidad pero aún no ha publicado ninguna nota oficial al respecto.

Más Información:

Microsoft IIS FTP 5.0 Remote SYSTEM Exploit
http://www.offensive-security.com/blog/vulndev/microsoft-iis-ftp-5-0-remote-system-exploit/

Microsoft Internet Information Services (IIS) FTP Service Vulnerability
http://www.us-cert.gov/current/index.html#microsoft_internet_information_services_iis1

Fuente:
Sergio de los Santos
http://www.hispasec.com



Otras noticias de interés:

Mac OS X no es tan seguro como parece
El sistema operativo de Apple presenta una serie de brechas que lo convierten en vulnerable ante posibles ataques de malware. ...
Vulnerabilidades en el servidor DNS de Windows
Dentro del conjunto de boletines de seguridad de agosto publicado el pasado martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el boletín MS11-058) de dos vulnerabilidades (la más grave de carácter crítico) en el se...
Cómo hacer que los honeypots mejoren la seguridad de tu red
Estos componentes simulan ser sistemas vulnerables a los ataques para atraer a los hackers y/o spammers con el fin de mantenerles ocupados mientras el departamento informático reacciona....
Troyanos ocupan primeros puestos en las detecciones
Según GFI Labs, las detecciones de estos códigos maliciosos indican que los operadores de botnets continúan tratando de infectar equipos para usarlos en sus redes de spam. A ello se suma el auge de los productos de seguridad furtivos....
Papirux Número 3 publicado.
La gente de papirux.org ha lanzado una nueva edición de la excelente revista eletronica Papirux. De lectura recomendada....
¿Criptomemorias con trampa?
Flylogic Engineering afirma haber encontrado una puerta trasera en dos modelos de criptomemoria fabricados por Atmel. El asunto resulta especialmente sospechoso porque sólo dos modelos de toda la gama resultan vulnerables, algo que deja la puerta ab...
La geolocalización amenaza la privacidad
Los usuarios de teléfonos inteligentes están asumiendo, sin saberlo, el riesgo de ofrecer información de su vida cotidiana. Las cámaras de los smartphones que contienen la tecnología GPS de localización en el interior ya están equipadas con el...
Aumentan los gusanos que aprovechan el MSN Messenger
En los últimos meses han aparecido varios miembros de una familia de virus que aprovechan el mensajero instantáneo de Microsoft para reproducirse. Hace pocas horas, un nuevo ejemplo comenzó a ser reportado por los usuarios de Internet....
Publicada lista con los 25 errores de código más peligrosos
La mayoría de las vulnerabilidades que los hackers aprovechan para atacar sitios Web y servidores corporativos son generalmente el resultado de errores de programación comunes y bien conocidos. Para paliar este problema, un grupo de compañías ha ...
Falso correo de Microsoft distribuye backdoor
PandaLabs ha detectado el envió de mensajes de correo electrónico que, afirmando provenir de la compañía Microsoft, tratan de instalar en el ordenador al backdoor Bandok.BO. El asunto de estos correos es: Boletin de seguridad de Microsoft MS07-0...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • codigo
  • computer
  • debian
  • ejecucion
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • ftp
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • iis
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • permite
  • pgp
  • php
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidad
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra