Todos los sistemas Windows 2000 con Internet Information Server 5.0
instalado se ven afectadas por una grave vulnerabilidad que puede
permitir a un atacante remoto tomar el control del servidor.
Windows 2000 aporta el soporte nativo para el Internet Printing Protocol
(IPP), un estándar para enviar y controlar los trabajos de impresión
sobre HTTP. Este protocolo se implementa en Windows 2000 a través de una
extensión ISAPI que se instala por defecto en todos los servidores
Windows 2000 pero a la que sólo puede accederse desde IIS 5.0.
La existencia de un búfer sin comprobar en la sección en la que la
extensión ISAPI controla los parámetros de entrada, da lugar a una
vulnerabilidad de seguridad. Esto puede permitir a un atacante remoto
construir un ataque de desbordamiento de búfer y conseguir la ejecución
de código en el servidor. Este código podrá ejecutarse en el contexto de
seguridad Local del Sistema, por lo que el atacante podrá conseguir el
control total del servidor.
El atacante puede explotar esta vulnerabilidad contra cualquier servidor
con el que pueda conectar a través de una sesión web. No se necesita
ningún servicio adicional para explotar la vulnerabilidad, tan sólo
bastará con disponer abiertos los puertos 80 (HTTP) o 443 (HTTPS).
La vulnerabilidad se produce cuando se envía una cadena de 420 bytes de
longitud aproximadamente dentro de la cabecera HTTP Host: para una
petición ISAPI .printer.
GET /NULL.printer HTTP/1.0
Host: [buffer]
Donde [buffer] tiene aproximadamente 420 caracteres.
Para evitar este problema Microsoft ha publicado un parche cuya
instalación recomendamos a todos los usuarios de este tipo de sistemas,
el parche para Microsoft Windows 2000 Server y Advanced Server se
encuentra en http://www.microsoft.com/Downloads/Release.asp?ReleaseID=29321.
Otra medida para evitar el problema pasa por eliminar el acceso a
la extensión ISAPI para impresión por Internet (filtro ISAPI .printer).
antonior@hispasec.com
Más información:
Aviso de seguridad de eEye:
http://www.eeye.com/html/Research/Advisories/AD20010501.html
Boletín de seguridad Microsoft:
http://www.microsoft.com/technet/security/bulletin/ms01-023.asp
