Ошибка сервера Microsoft Internet Information Services 6 при обработке запроса в unicode дает хакеру простой доступ к системе.

Уязвимость кроется в компоненте IIS6, отвечающем за обработку команд по протоколу WebDAV.

Добавив к веб-адресу несколько символов unicode, хакер может получить доступ к файлам, которые обычно доступны только с системным паролем.

Более того, уязвимость позволяет также выгружать файлы в защищенную часть сервера.

Об ошибке сообщил эксперт Николаос Ренгос (Nikolaos Rangos) в пятницу.

Команда US Computer Emergency Readiness уже наблюдает активное использование этой ошибки. Группа советует немедленно запретить WebDAV до выпуска исправления уязвимости.

Ошибка присутствует только в IIS6 и WebDAV по умолчанию выключен.

Представители Microsoft сообщил в понедельник, что ими не замечено атак данной уязвимости.

Согласно заявлению экспертов, для получения доступа к файлу protected.zip, находящемуся в папке с парольным доступом protected, достаточно выполнить следующий запрос:

GET /..%c0%af/protected/protected.zip 
HTTP/1.1 
Translate: f 
Connection: close 
Host: servername

Код "%c0%af" является unicode-последовательностью символа "/". Дополнительные команды заставляют IIS6 интерпретировать строку как путь к файлу. Сервер реагирует на запрос отправкой файла без запроса на авторизацию.