Luka w Microsoft ASP.NET

Microsoft ogłosił lukę związaną z przetwarzaniem zapytań HTTP do postaci kanonicznej w ASP.NET. Luka umożliwia obejście procesu uwierzytelnienia w aplikacjach WWW korzystających z mechanizmu ASP.NET Forms. Oznacza to, że zdalny atakujący, poprzez wysłanie odpowiednio spreparowanego URLa, może uzyskać nieupoważniony dostęp do wrażliwych informacji lub programów chronionych przez ten mechanizm.

Według Microsoft, podatne na atak są wszystkie wersje ASP.NET, niezależnie od zainstalowanej wersji serwera IIS. Istnieją jednak niepotwierdzone doniesienia, że luka może nie dotyczyć Windows 2003.

Proponowane są dwie metody zabezpieczenia się przed atakiem:
- zainstalowanie modułu HTTP, oferowanego na stronie http://support.microsoft.com/?kbid=887289.
- zainstalowanie narzędzia urlscan w celu odfiltrowywania zapytań zawierających znaki ukośnika odwrotnego (backslash)
(http://www.microsoft.com/technet/security/tools/urlscan.mspx).

Sposób wykorzystania luki został już opublikowany.

Więcej informacji: http://www.microsoft.com/security/incident/aspnet.mspx.

Źródło informacji: CERT Polska