Biztonság

[ Mégsem hibás az IIS ]

Mégsem hibás az IIS

  • 2008-05-19 22:46
Az utóbbi hetekben rengeteg jelentés érkezett arról, hogy a Microsoft Internet Information Services (IIS) 6-os verzióját futtató webkiszolgálók működését külső támadók egy eddig ismeretlen biztonsági rést kihasználva lehetetlenné tették. A Microsoft Technet portálon publikált cikkében egy lehetséges biztonsági rést neveznek meg a probléma okozójaként, amelynek a vizsgálatát rögtön meg is kezdték.

Ezen információk alapján több hírportálon és nálunk is megjelent egy írás ezzel a "hibával" kapcsolatban. Sajnos, vagy szerencsére az eset vaklárma volt, ezért korábbi cikkünk tartalma nem teljesen felel meg a valóságnak. Miről is van szó pontosan? A Microsoft a bejelentések nagy száma miatt egy biztonsági rés létezésére gyanakodott, és kiadott egy figyelmeztetést, melyben leírta, hogy megkezdték a vizsgálatot a hiba után. Mostanra világossá vált, hogy egyáltalán nem beszélhetünk sebezhetőségről, mindössze az érintett oldalak üzemeltetőinek hibájáról van szó, amelyet kihasználva egy automatikus script SQL-injektálás módszerrel hajtott végre támadásokat. A megbénított weboldalak adatbázismotorjai tehát helytelenül voltak konfigurálva, mivel ártó kód bejuttatását tették lehetővé magáról a weblapról.

A biztonsági jelentés:


A "védekezéshez" tehát nem szükséges semmilyen javítás, mindössze figyelmesen kell konfigurálnunk szervereinket.

Néhány hasznos írás a webkiszolgálók biztonságos üzemeltetéséhez: