Возможность повышения привилегий в Microsoft IIS

05.11.2002 | 15:27
Обнаружена очередная уязвимость в веб-сервере Microsoft IIS. Сообщается о возможности повышения полномочий до SYSTEM локальным пользователем в версиях IIS - 4.0/5.0/5.1.

Уязвимость проверялась на сервере с установленной ОС Win2K c установленными Service pack2, Security rollup1 и кумулятивным патчем для IIS (Q319733). Уязвимость связана с тем, что процесс dllhost.exe выполняет обработку запросов пользователя от имени эккаунта SYSTEM. Процесс dllhost.exe выполняется с привилегиями IWAM_machinename и атакующий может манипулировать областью памяти процесса и похитить (приобрести) привилегии эккаунта SYSTEM, когда процесс приобретает права этого эккаунта. Другими словами, атакующий может выполнить произвольный код от имени SYSTEM со всеми вытекающими отсюда последствиями.

Для осуществления атаки локальный злоумышленник может заставить dllhost.exe вызвать функцию MyCoImpersonateClient вместо функции ole32!CoImpersonateClient при помощи технологии hooking API. Также злоумышленник может подделать функцию MyCoImpersonateClient и выполнить необходимый ему код с привилегиями SYSTEM.

Другой метод использования уязвимости заключается в вызове процесса dllhost.exe в отладчике и модификации содержимого памяти процесса dllhost.exe. Атакующий, используя эту уязвимость одним из описанных выше способов, может назначить произвольный эккаунт для локальной административной группы и выполнять программы с привилегиями администратора.

Необходимо отметить, что уязвимость была обнаружена автором еще в конце июня, однако опубликована только после выпуска Microsoft соответствующего патча MS02-062.

Подробное описание - http://www.li0n.pe.kr/eng/advisory/ms/iis_impersonation.txt.
безопасность, информация, защита информации, статьи, библиотека, аудит, администрирование, реагирование на инциденты, криптография, уязвимость
По материалам http://uinc.ru
Лента новостей: FacebookLiveJournalЯндекс

Комментарии (0)
Оставьте комментарий:CaptchaОбновить проверочный код