Microsoft hält IIS-Sicherheitslücke für unbedenklich

Microsoft hält die von Soroush Dalili entdeckte Sicherheitslücke in Internet Information Server (IIS) für sicherheitstechnisch unbedenklich. In einem Blogbeitrag des Microsoft Security Response Centers (MSRC) erklärt der Softwarehersteller die sechstägige Untersuchung für abgeschlossen – mit dem Ergebnis, dass keine Verwundbarkeit vorliege.

Es sei lediglich eine „Inkonsistenz“ festgestellt worden, wie IIS 6 Semikola in Dateinamen behandele. Dalili hatte festgestellt, dass ein Dateiname wie bild1.asp;.jpg beim Upload als unbedenkliche JPEG-Bilddatei akzeptiert wird, beim Aufruf durch Anklicken oder direkte URL-Eingabe jedoch als ASP-Skript ausgeführt wird.

Microsoft führt an, dass diese Inkonsistenz in der Default-Konfiguration nicht relevant sei, da keine Schreibrechte vorhanden seien. In einer empfohlenen Konfiguration für ein Upload-Verzeichnis solle man keine Rechte zum Ausführen von Skripts oder Executables vergeben. Dies stünde auch so in den IIS 6.0 Security Best Practices.

Microsofts Ausführungen dürften Sicherheitsexperten allerdings wenig überzeugen. Wenn ein Upload-Verzeichnis gleichzeitig Schreib- und Ausführungsrechte beinhaltet, öffnet man generell eine große Angriffsfläche. Kriminelle können in einer solchen Konfiguration ohne Probleme auch Dateien mit Erweiterungen wie .exe, .bat, oder .vbs hochladen und ausführen.

Die von Dalili entdeckte Lücke kann jedoch relevant werden, wenn scheinbare Bilddateien vom Upload-Verzeichnis in ein anderes mit der Default-Konfiguration kopiert werden. In der Default-Konfiguration erlaubt Microsoft die Ausführung von Skripts. Dadurch kann ein Angreifer seinen Schadcode zur Ausführung bringen.

Websitebetreiber sollten daher generell die Default-Einstellungen ändern, dass weder Skripte noch Executables ausgeführt werden können. Alle Skripte sollten in separate Verzeichnisse kopiert werden, in denen sicherzustellen ist, dass kein von Benutzern generierter Content dort hingelangen kann.