Microsoft IIS错误记录日志漏洞

漏洞信息详情

Microsoft IIS错误记录日志漏洞

• CNNVD编号：CNNVD-200111-019
• 危害等级： 高危
  
  
• CVE编号：
  CVE-2001-0902
  
• 漏洞类型：
  
  
  输入验证
  
• 发布时间：
  
  2001-11-20
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2005-05-13
  
• 厂        商：
  
  microsoft
• 漏洞来源：
  onesemicolon※ ones…

Microsoft IIS是一款由微软开发和维护的WEB服务程序。
Microsoft IIS在记录使用十六进制编码的请求存在问题，远程攻击者可以利用这个漏洞使IIS记录错误信息。
在IIS的日志文件中十六进制代码会转义成一个字符，如\’\’/index\\%2easp\’\’记录成\’\’/index.asp\’\’。问题是\’\’\\%0A\’\’服务程序会转译成新行，而\\%FF会记录成空格，使用这两个十六进制可以使攻击者伪造日志，让IIS把一条请求记录成两条日志，造成记录信息错误。

厂商补丁：
Microsoft
———
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.microsoft.com/technet/security/” target=”_blank”>
http://www.microsoft.com/technet/security/

来源: XF
名称: iis-fake-log-entry(7613)
链接:http://xforce.iss.net/xforce/xfdb/7613

来源: BID
名称: 6795
链接:http://www.securityfocus.com/bid/6795

来源: BUGTRAQ
名称: 20011120 IIS logging issue
链接:http://marc.theaimsgroup.com/?l=bugtraq&m=100626531103946&w=2

来源: NTBUGTRAQ
名称: 20011120 IIS logging issue
链接:http://marc.theaimsgroup.com/?l=ntbugtraq&m=100627497122247&w=2