Kolejna dziura

Georgi Guninski poinformował świat o poważnej luce w systemach bezpieczeństwa oprogramowania Microsoftu - Internet Information Server, Internet Explorer i Exchange 2000.

Bułgarski łowca bugów, Georgi Guninski, poinformował o odkryciu luki bezpieczeństwa wynikającej z niewłaściwej współpracy produktów Microsoftu: Internet Explorer (IE), Internet Information Server (IIS) oraz Exchange 2000. Umożliwia ona podgląd zgromadzonych na serwerze listów elektronicznych i zlokalizowanych tam katalogów.

G. Guninski stwierdził, iż narzędzie do publikowania na witrynach internetowych zawartości baz danych OLE DB umożliwia za pomocą skryptów manipulowanie obiektami na serwerze IIS 5.0. Co więcej, przeglądarka IE w wersji co najmniej 5 zawsze wyświetla zawartość stron i wykonuje skrypty, jeżeli są one zlokalizowane na IIS 5.0 w tzw. lokalnej strefie internetowej, nie informując o tym użytkownika.

Jak stwierdził G. Guninski spreparowana strona da hakerowi duże możliwości - pozna on układ katalogów na serwerze IIS, na którym znajdzie się przeglądana strona, a także będzie mógł przeglądać i modyfikować pliki serwera pocztowego Exchange 2000.

G. Guninski poinformował Microsoft o tym odkryciu, ale na razie firma nie skomentowała tego doniesienia.

Więcej informacji: