| 취약점ID |
22104 |
| 위험도 |
40 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
WWW |
| 상세설명 |
IIS 서버가 스크립트 수행에 대한 사용자 요청을 받을 때 그 요청에 대한 디코딩 절차를 수행한다. 요청된 문자열은 정규화된 폼으로 디코드되고 타당성에 대한 수많은 보안 체크들이 수행된다. 두번째 디코딩 루틴은 파일명 뒤의 인수들을 해석하기 위해 수행된다. IIS 서버는 이들 추가적인 인수들이 있는 파일명의 해석에 오류를 범한다. 이 결함은 보안 체크들을 통과하기 위해 ".." 과 "/"을 포함하는 조작된 요청들을 허용하며, 또한 Attacker가 IIS 서버상의 임의의 명령들을 수행시킬 수 있게 해 준다.
이 취약점은 이전에 나온 IIS Unicode 해석 취약점과 매우 유사하다. Unicode 취약점과 마찬가지로 이것은 일종의 "dot dot" directory traversal attack의 한 부류이다. 이러한 공격들은 Attacker 뜻대로 파일시스템을 뒤져 임의의 명령들을 수행할 수 있게 해 왔다. IIS를 포함한 대부분의 웹서버들은 "dot dot" 공격을 막기위해 보안 장치를 갖춰왔다. 이러한 보안 장치들은 "/"나 ".." 문자들을 포함하는 URL들에 대한 모든 질의들을 막아낸다. Unicode 취약점은 Unicode로 인코드된 ".."와 "/" 문자들의 부적절한 조작의 결과이다. 유사한 결과를 보여주는 새로운 취약점은 IIS 인코딩 메커니즘에 있는 또다른 결함을 이용하고 있다.
* 참고 사이트:
http://www.microsoft.com/technet/security/bulletin/ms01-026.asp
http://marc.theaimsgroup.com/?l=bugtraq&m=98992056521300&w=2 |
| 해결책 |
6.0 버전 이상의 IIS로 업그레이드 할 것을 권고한다. |
| 관련 URL |
CVE-2001-0333 (CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
