情報漏えいなどの恐れ：IISに未パッチの脆弱性か、エクスプロイトも出回る - ITmedia エンタープライズ（情報元のブックマーク数）
なんか、IIS6の脆弱性とExploitコードが出ているそうです。Unicodeの文字をURLに追加することでアクセス制限を交わすことが可能とのこと。
米US-CERTは5月18日、Microsoft Internet Information Services 6（IIS6）の脆弱性情報が公開され、エクスプロイトコードが出回っていると伝えた。
IISに未パッチの脆弱性か、エクスプロイトも出回る - ITmedia エンタープライズ
IIS6の脆弱性情報についてはSANS Internet Storm Centerやセキュリティ企業のSecuniaも報告している。各社の情報を総合すると、脆弱性は、認証が必要なディレクトリのWebDAVリクエストを処理する際のエラーに起因する。
この問題を悪用すると、特定のUnicode文字をURLに付け加えることによってフォルダのアクセス制限をかわすことが可能になり、リモートの攻撃者が重要情報を入手したり、任意のファイルをアップロードすることが可能になる。
関連URL
- ■ IIS 6.0 + WebDAV: Unicode バグの逆襲 ：セキュリティホール memo
- 脆弱性はIIS6に存在するとされ、Secuniaは完全にパッチを当てたWindows XP SP3上のIIS 5.1でも確認したと報告している。Secuniaの深刻度評価は5段階で中程度の「Moderately critical」となっている。
- Security Research & Defense : Answers to the IIS WebDAV authentication bypass questions
- IIS 5/6 vulnerability - Hackers actively exploring possible attacks (971492) - Calendar Of Updates
