Windows IIS 6.0 Sicherheitslücke wird seit Juli 2016 genutzt

Windows wird mit dem Internet Information Services (IIS) ausgeliefert. Im IIS 6.0 existiert eine Sicherheitslücke, die seit Juli 2016 in Angriffen ausgenutzt wird, um Windows Server zu übernehmen.


Anzeige

Die Zero-Day Lücke wurde von zwei chinesischen Sicherheitsforschern des Information Security Lab & School of Computer Science & Engineering, South China University of Technology Guangzhou, China, entdeckt. ein  Buffer Overflow in der ScStoragePathFromUrl-Funktion des WebDAV-Diensts des Internet Information Services (IIS) 6.0 ermöglicht die Übernahme des Microsoft Windows Server 2003 R2 und die Ausführung von Remote Code.

Die Sicherheitslücke ist aber nur von begrenzter Ausnutzbarkeit, da sie nur den IIS 6.0 betrifft. Dieser wurde November 2010 freigegeben und mit Windows Server 2003 sowie Windows XP Professional x64-Bit-Edition ausgeliefert. Die beiden Forscher haben einen proof-of-concept Exploit auf GitHub veröffentlicht, aber erst, nachdem Microsoft die Sicherheitslücke bestätigte. Einen Patch wird es nicht geben, das Windows Server 2003 sowie Windows XP Professional aus dem Support herausgefallen sind. Weitere Hinweise finden sich bei bleepingcomputer.com.


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Dieser Beitrag wurde unter Sicherheit, Windows abgelegt und mit , , verschlagwortet. Setze ein Lesezeichen auf den Permalink.

2 Antworten zu Windows IIS 6.0 Sicherheitslücke wird seit Juli 2016 genutzt

  1. Ralph sagt:

    Der Support für Server 2003 wurde doch zeitgleich mit Wintendo XP aufgehoben, wenn ich nicht irre. Welche Entscheider pennen da denn eigentlich, wenn eine Sicherheitslücke dann noch ausgenutzt werden kann, weil eine Software noch am Netz läuft, die seitens Winzigweich nicht mehr unterstützt wird durch Patches und Updates und entsprechend abgeschaltet und ersetzt gehört?

  2. Heiko Müller sagt:

    Ich hätte hier eventuell noch den dringenden Hinweis gegeben, dass es schon fatal ist so veraltete Software, die mittlerweile voll von ungepatchten Lücken ist, weiter zu nutzen.
    Und dann noch den IIS – das bedeutet auch noch, dass man erreichbar sein will.
    Vielleicht baue ich in meine Webseiten demnächst eine Funktion ein, die ein Besuch von unsicheren Systemen aus umleiten und den Hinweis einblenden: Unsicheres Betriebssystem. Besuch nicht gestattet :-D

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.