Microsoft IIS 6.0 Admin Interface ReturnURL Cross Site Scripting

VulDB: Microsoft IIS 6.0 Admin Interface ReturnURL Cross Site Scripting

Allgemein

Microsoft

scipID: 187
Betroffen: Microsoft IIS 6.0 Admin Interface verschiedene ASP-Skripte
Veröffentlicht: 23.07.2003 (Hugo Vázquez Caramés und Toni Cortés Martínez)
Risiko: kritisch
Eintrag: 92.9% komplett
Erstellt: 23.07.2003

Beschreibung

Der Microsoft Internet Information Server ist ein beliebter Webserver für die professionellen Windows-Betriebssysteme. Die Version 6.0 wird zusammen mit Microsoft Windows 2003 Server ausgeliefert. Hugo Vázquez Caramés und Toni Cortés Martínez posteten auf Bugtraq ein Advisory, bei dem sie auf mehrere Schwachstellen im Admin Interface von MS IIS 6.0 hinweisen. Der Parameter ReturnURL wird mit einer Vielzahl der genutzten ASP-Dokumente verwendet und lässt sich für einen Cross Site Scripting Angriff nutzen. Im Bugtraq-Posting ist ein Beispiel gegeben, wie man diese Schwachstelle ausnutzen kann. Microsoft wurde nicht vorzeitig über die Existenz der Schwachstellen informiert. Es ist jedoch damit zu rechnen, dass sie einen Patch für diese Verwundbarkeit herausgeben werden. Mitunter wird der Fehler auch in den Datenbanken von Secunia (SA9334) und SecurityFocus (BID 8244) dokumentiert.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 11492 herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann.

Hugo Vázquez Caramés und Toni Cortés Martínez haben mit diesem Bugtraq-Posting sehr unfair und unprofessionell gehandelt. Sie weisen eingehends darauf hin, dass sie keine Freunde von Microsoft sind. Aus diesem Grund würden sie es unterlassen, Microsoft frühzeitig und explizit auf die Schwachstelle hinzuweisen. Resultat dieses ignoranten Verhaltens ist, dass ein Mehr an Zeit verstreichen wird, bis Microsoft den Fehler kennt und entsprechende Gegenmassnahmen einleiten kann.