Date : 13-02-2008

Criticité HSC : 3/5 - moyenne

Avis public : Oui

Exploitation : Indisponible

Résumé : Des vulnérabilités ont été découvertes dans Microsoft Internet Information Services (IIS), permettant respectivement à un utilisateur malveillant d’effectuer une élévation locale de privilèges et d’exécuter du code arbitraire à distance.

Source : Microsoft

Objet : Microsoft IIS 5.0, Microsoft IIS 5.1, Microsoft IIS 6.0, Microsoft IIS 7.0

Description :

1. Elévation locale de privilèges dans IIS (MS08-005) - CVE-2008-0074

Internet Information Services est vulnérable à une attaque permettant une élévation locale de privilèges (KB942831). Afin d’exploiter cette vulnérabilité, un attaquant doit disposer d’un accès local sur la machine cible, et créer ou modifier un fichier dans les répertoires définis comme "FTPRoot", "NNTPFile\Root" ou "WWWRoot" dans la configuration d’IIS.

Cette vulnérabilité impacte notamment les hébergeurs web permettant le stockage de scripts ASP par leur clients.

Produits impactés : - IIS 5.0 sur Microsoft Windows 2000 SP 4 - IIS 5.1 sur Windows XP SP2 - IIS 5.1 sur Windows XP x64 et Windows XP x64 SP2 - IIS 6.0 sur Windows Server 2003 SP1 et SP2 - IIS 6.0 sur Windows Server 2003 x64 SP1 et SP2 - IIS 6.0 sur Windows Server 2003 pour Itanium SP1 et SP2 - IIS 7.0 sur Windows Vista - IIS 7.0 sur Windows Vista x64

Références :

http://www.microsoft.com/technet/security/bulletin/MS08-006.mspx

http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-0075

2. Exécution de code arbitraire à distance (MS08-006) - CVE-2008-0075

IIS est également vulnérable à une exécution de code arbitraire à distance (KB942830), à travers son module ASP. Un utilisateur malveillent peut, en effet, exploiter cette vulnérabilité en passant des paramètres spécifiques à une page ASP. Une exploitation réussie permettrait l’exécution de code arbitraire à distance sous l’identité du "Worker Process" (WPI), qui a, par défaut, les privilèges "Network Service".

Les hébergeurs de contenu sont ici également plus fortement impactés, puisqu’un utilisateur malveillant pourrait stocker un fichier ASP lui permettant d’exécuter des requêtes exploitant la vulnérabilité.

Le module ASP.NET n’est pas vulnérable.

Produits impactés :
 IIS 5.1 sur Windows XP SP2
 IIS 6.0 sur Windows XP x64 et Windows XP x64 SP2
 IIS 6.0 sur Windows Server 2003 SP1 et SP2
 IIS 6.0 sur Windows Server 2003 x64 SP1 et SP2
 IIS 6.0 sur Windows Server 2003 pour Itanium SP1 et SP2

Références :

http://www.microsoft.com/technet/security/bulletin/MS08-005.mspx

http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-0074