S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 17 août 2000 No CERTA-2000-AVI-030

Affaire suivie par :

CERTA

Objet : Vulnérabilité sous Internet Information Server 5.0

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Perte de confidentialité des données

2 Systèmes affectés

Internet Information Server 5.0

3 Résumé

Une vulnérabilité sous Internet Information Server 5.0 permet à un utilisateur mal intentionné de récupérer le code source de fichiers utilisant Internet Service Application Programming Interface (ISAPI).

4 Description

Internet Information Server 5.0 utilise l'interface ISAPI pour les fichiers de type ASP, ASA, HTR etc... Un utilisateur malveillant, par le biais d'une URL malformée, peut forcer le serveur à renvoyer le code du script du fichier. Ce code est susceptible de contenir des informations tels que l'emplacement des bases de données ainsi que des mots de passe de connexion.

5 Solution

Correctif concernant IIS 5.0

http://www.microsoft.com/Downloads/Release.asp?ReleaseID=23769

6 Documentation

Bulletin Microsoft

http://www.microsoft.com/technet/security/bulletin/ms00-058.asp

Gestion détaillée du document

17 août 2000

version initiale.