Microsoft ha publicado un parche para cubrir una nueva vulnerabilidad en Microsoft Internet Information Server (IIS), por la cual se pueden provocar ataque de Denegación de Servicio (DoS) contra servidores Web.
En esta ocasión Microsoft se adelanta a los posibles problemas, pues no se tiene constancia de usuarios afectados por esta vulnerabilidad. A pesar de ello la multinacional ha publicado un boletín y un parche para permitir que los usuarios eviten los potenciales riesgos de seguridad asociados. Microsoft recomienda que sean los propios usuarios los que evalúen su nivel de riesgo frente al ataque y decidan si deben instalar el parche o no.
Esta vulnerabilidad implica el método get del protocolo http, el cual es usado para obtener la información del servidor web. Determinadas peticiones get mal formadas pueden crear una situación de denegación de servicio por el consumo de todos los recursos del servidor, causando un «cuelgue» del ordenador. En algunos casos el servidor puede restaurarse parando y reiniciando el IIS, pero en otros es preciso rebotar el ordenador. Esta situación no ocurre de forma accidental, las peticiones get mal construidas deben formarse y enviarse al servidor de forma deliberada.
Microsoft deja claro en su aviso que el mayor daño que se puede causar es la denegación de servicio por la caída del servidor, en ningún caso esta vulnerabilidad permite que los datos del servidor queden comprometidos o que algún privilegio sea usurpado.
Parece que no se libra ninguna versión del problema, ya que afecta a
Microsoft Internet Information Server en sus versiones 3.0 y 4.0, sobre plataformas Intel y Alpha. Pero por otra parte el parche que ofrece el gigante del software no ha sido totalmente testeado y solamente se recomienda su aplicación en los sistemas que puedan sufrir un riesgo de ataque. Por ello, se recomienda que sean los propios usuarios los que evalúen el riesgo y decidan la instalación del parche. A pesar de todo de ello, Microsoft ofrece soporte sobre este parche.
El contrapunto viene dado por la afirmación de Microsoft de que la versión del parche completamente probada estará disponible como parte del próximo Service Pack para Windows NT. Resulta sorprendente que cuando apenas han transcurrido un par de meses de la ultima versión del Service Pack MS ya anuncie parches que sólo verán la luz en el SP5. Si este tarda en llegar tanto como el SP4, posiblemente ya no sea necesario pues todos los usuarios habrán instalado ya Windows 2000, (aunque por nuestra parte nos gustaría seguir llamándolo Windows NT 5).
Los parches se encuentran disponibles en las siguientes direcciones:
Para IIS 3.0 sobre plataformas X86:
ftp://ftp.microsoft.com/bussys/iis/iis-public/fixes/usa/security/Infget-fix/infget3i.exe
Para IIS 4.0 sobre plataformas X86:
ftp://ftp.microsoft.com/bussys/iis/iis-public/fixes/usa/security/Infget-fix/infget4i.exe
Para IIS 3.0 sobre plataformas Alpha:
ftp://ftp.microsoft.com/bussys/iis/iis-public/fixes/usa/security/Infget-fix/infget3a.exe
Para IIS 4.0 sobre plataformas Alpha:
ftp://ftp.microsoft.com/bussys/iis/iis-public/fixes/usa/security/Infget-fix/infget4a.exe
Deja un comentario