MS01-026 : Une opération de décodage superflue peut permettre l'exécution de commandes dans IIS

Traductions disponibles Traductions disponibles
Numéro d'article: 295534 - Voir les produits auxquels s'applique cet article
Ancien nº de publication de cet article : F295534
Cet article a été archivé. Il est proposé « en l'état » et ne sera plus mis à jour.
Agrandir tout | Réduire tout

Sommaire

Symptômes

Il existe une vulnérabilité dans Microsoft Internet Information Services (IIS) 5.0 et Microsoft Internet Information Server (IIS) 4.0 qui peut permettre à un utilisateur mal intentionné d'exécuter des commandes du système d'exploitation sur un serveur Web affecté. Un tel utilisateur peut alors modifier des pages Web, ajouter, modifier ou supprimer des fichiers, reformater le disque dur, ou encore télécharger et exécuter du code sur le serveur.

Les pratiques recommandées, si elles sont utilisées, peuvent empêcher partiellement ou complètement qu'un utilisateur mal intentionné n'exploite cette vulnérabilité. Même si un tel utilisateur réussit à exploiter cette vulnérabilité, il ne pourra pas bénéficier du contrôle administrateur sur le serveur. En revanche, il bénéficiera des privilèges qui sont en principe réservés à un utilisateur qui peut se connecter au serveur de manière interactive. Néanmoins, même ces privilèges peuvent permettre à un utilisateur mal intentionné de provoquer de graves dommages et d'effectuer d'autres attaques en vue d'obtenir des privilèges supplémentaires.

Facteurs d'atténuation :
  • Cette vulnérabilité ne permet pas à l'utilisateur mal intentionné de connaître la structure du dossier sur le serveur. Par conséquent, si le système d'exploitation est installé sur un lecteur séparé de la racine Web ou dans des dossiers non standard, l'utilisateur mal intentionné ne peut pas trouver les programmes qui l'intéressent.
  • Cette vulnérabilité ne fournit pas l'accès administrateur au serveur. Si vous avez suivi les recommandations dans les listes de sécurité IIS 4.0 et IIS 5.0, les programmes sont déplacés dans des dossiers auxquels seul l'administrateur a accès ; par ailleurs, l'accès aux ressources du serveur par des utilisateurs qui ne sont pas des administrateurs est très limité.

Cause

L'existence de cette vulnérabilité est liée à une erreur dans la fonctionnalité qui traite les requêtes en vue d'exécuter les programmes hébergés sur le serveur. Une opération de décodage superflue peut permettre à un utilisateur mal intentionné d'échapper aux contrôles de sécurité et à la structure du dossier virtuel du serveur ; ainsi, il peut exécuter les commandes du système d'exploitation sur le serveur.

Résolution

Pour plus d'informations sur les corrections apportées par les programmes correctifs suivants, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :
297860 Correctif intégrant les correctifs IIS 5.0 et IIS 4.0 depuis Windows NT 4.0 SP5

Internet Information Services 5.0

Pour résoudre ce problème, procurez-vous le correctif référencé dans cette section ou Windows 2000 Security Rollup Package 1 (SRP1). Pour plus d'informations concernant le SRP1, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :
311401 Security Rollup Package 1 (SRP1) Windows 2000, janvier 2002
Un correctif est désormais disponible auprès de Microsoft, mais il est destiné uniquement à résoudre le problème décrit dans cet article et ne doit être appliqué qu'aux systèmes reconnus comme étant vulnérables. Vérifiez l'accessibilité physique de votre ordinateur, la connectivité réseau et Internet, ainsi que d'autres facteurs afin de déterminer le niveau de risque auquel est soumis votre ordinateur. Consultez le bulletin de sécurité Microsoft associé pour vous aider à effectuer cette évaluation. Ce correctif pourra être soumis à des tests ultérieurs afin d'assurer la qualité du produit. Si votre ordinateur est réellement exposé, Microsoft vous recommande d'utiliser ce correctif dès à présent. Sinon, attendez la prochaine version de Service Pack de Windows 2000 qui le contiendra.

Pour résoudre ce problème dès à présent, téléchargez ce correctif en suivant les instructions ci-dessous ou procurez-vous le correctif auprès des services de Support technique Microsoft. Pour obtenir une liste complète des services de Support technique Microsoft et leur numéro de téléphone, ainsi que des informations relatives aux frais de Support technique, reportez-vous au site Web de Microsoft à l'adresse suivante :

http://support.microsoft.com/directory/overview.asp
REMARQUE : dans certains cas, les frais généralement encourus en faisant appel au Support technique peuvent être annulés si un technicien du Support technique Microsoft détermine qu'une mise à jour spécifique peut résoudre votre problème. Les tarifs normaux s'appliquent à toute question de support supplémentaire, ainsi qu'aux problèmes qui ne relèvent pas de la mise à jour spécifique en question.

Vous pouvez télécharger le fichier suivant à partir du Centre de téléchargement Microsoft :
Réduire cette imageAgrandir cette image

Téléchargement
Télécharger Q293826_w2k_sp3_x86_en.exe maintenant
Pour plus d'informations sur le téléchargement des fichiers du Support technique Microsoft, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :
119591 Procédure pour obtenir des fichiers de Support technique Microsoft auprès des services en ligne
Microsoft a utilisé les logiciels de détection de virus les plus récents disponibles à la date de publication pour détecter la présence de virus dans ce fichier. Une fois publié, le fichier est conservé sur des serveurs sécurisés, empêchant toute modification non autorisée du fichier.

La version anglaise de ce correctif doit avoir les attributs de fichier suivants ou ceux d'une version ultérieure :
   Date         Heure   Version      Taille   Nom du fichier
   --------------------------------------------------------
   04/05/2001  11:48  5.0.2195.3407  245 520  Adsiis.dll
   04/05/2001  11:48  5.0.2195.3407  332 560  Asp.dll
   26/08/2000  18:30                   6 512  Fixerr.js
   10/11/2000  23:21  5.0.2195.3407  593 976  Fp4autl.dll
   27/03/2001  22:10  5.0.2195.3407  445 712  Httpext.dll
   04/05/2001  11:48  5.0.2195.3407   56 592  Httpodbc.dll
   04/05/2001  11:48  5.0.2195.3407  122 640  Iisrtl.dll
   04/05/2001  11:48  5.0.2195.3407   13 584  Infoadmn.dll
   04/05/2001  11:48  5.0.2195.3407  245 520  Infocomm.dll
   04/05/2001  11:48  5.0.2195.3407   62 736  Isatq.dll
   04/05/2001  11:48  5.0.2195.3407   46 352  Ism.dll
   04/05/2001  11:48  5.0.2195.3407   76 560  Msw3prt.dll
   17/10/2000  13:38  5.0.2195.3407    6 928  Schmupd.exe
   04/05/2001  11:48  5.0.2195.3407   41 232  Ssinc.dll
   04/05/2001  11:48  5.0.2195.3407    7 440  W3ctrs.dll
   04/05/2001  11:48  5.0.2195.3407  357 648  W3svc.dll
REMARQUE : vous pouvez installer ce programme correctif sur des systèmes exécutant Microsoft Windows 2000 Gold, Windows 2000 Service Pack 1 ou Windows 2000 Service Pack 2.

Internet Information Server 4.0

Pour résoudre ce problème, procurez-vous le SRP (Security Rollup Package) de Windows NT 4.0. Pour plus d'informations, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :
299444 SRP Windows NT 4.0 postérieur au Service Pack 6a
Un correctif est désormais disponible auprès de Microsoft, mais il est destiné uniquement à résoudre le problème décrit dans cet article et ne doit être appliqué qu'aux systèmes reconnus comme étant vulnérables. Vérifiez l'accessibilité physique de votre ordinateur, la connectivité réseau et Internet, ainsi que d'autres facteurs afin de déterminer le niveau de risque auquel est soumis votre ordinateur. Consultez le bulletin de sécurité Microsoft associé pour vous aider à effectuer cette évaluation. Ce correctif pourra être soumis à des tests ultérieurs afin d'assurer la qualité du produit. Si votre ordinateur est réellement exposé, Microsoft vous recommande d'utiliser ce correctif dès à présent.

Pour résoudre ce problème dès à présent, téléchargez ce correctif en suivant les instructions ci-dessous ou procurez-vous le correctif auprès des services de Support technique Microsoft. Pour obtenir une liste complète des services de Support technique Microsoft et leur numéro de téléphone, ainsi que des informations relatives aux frais de Support technique, reportez-vous au site Web de Microsoft à l'adresse suivante :

http://support.microsoft.com/directory/overview.asp
REMARQUE : dans certains cas, les frais généralement encourus en faisant appel au Support technique peuvent être annulés si un technicien du Support technique Microsoft détermine qu'une mise à jour spécifique peut résoudre votre problème. Les tarifs normaux s'appliquent à toute question de support supplémentaire, ainsi qu'aux problèmes qui ne relèvent pas de la mise à jour spécifique en question.

Vous pouvez télécharger le fichier suivant à partir du Centre de téléchargement Microsoft :
Réduire cette imageAgrandir cette image

Téléchargement
Télécharger Q295534i.exe maintenant
REMARQUE : Q295534is.exe sont les fichiers de symboles.
Pour plus d'informations sur le téléchargement des fichiers du Support technique Microsoft, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :
119591 Procédure pour obtenir des fichiers de Support technique Microsoft auprès des services en ligne
Microsoft a utilisé les logiciels de détection de virus les plus récents disponibles à la date de publication pour détecter la présence de virus dans ce fichier. Une fois publié, le fichier est conservé sur des serveurs sécurisés, empêchant toute modification non autorisée du fichier.

La version anglaise de ce correctif doit avoir les attributs de fichier suivants ou ceux d'une version ultérieure :
   Date           Heure    Version    Taille  Nom de fichier   Plate-forme
   -----------------------------------------------------------------------
   11/04/2001  13:32  4.2.764.1      214 544  Adsiis.dll       x86
   11/04/2001  13:33  4.2.764.1      330 672  Asp.dll          x86
   02/04/2001  16:55  4.0.2.4701     593 976  Fp4autl.dll      x86
   11/04/2001  13:32  4.2.764.1       81 888  Ftpsvc2.dll      x86
   11/04/2001  13:32  4.2.764.1       55 392  Httpodbc.dll     x86
   11/04/2001  13:32  4.2.764.1       98 912  Iischema.dll     x86
   11/04/2001  13:31  4.2.764.1       63 472  Iislog.dll       x86
   11/04/2001  13:31  4.2.764.1      185 792  Infocomm.dll     x86
   11/04/2001  13:31  4.2.764.1       29 520  Iscomlog.dll     x86
   11/04/2001  13:35  4.2.764.1       54 560  Ism.dll          x86
   02/04/2001  16:55  4.0.1381.7086  375 056  Kernel32.dll     x86
   11/04/2001  13:36  4.2.764.1        9 680  Schmupd.exe      x86
   11/04/2001  13:32  4.2.764.1       38 256  Ssinc.dll        x86
   11/04/2001  13:32  4.2.764.1       25 360  Sspifilt.dll     x86
   11/04/2001  13:32  4.2.764.1      229 024  W3svc.dll        x86
   11/04/2001  13:31  4.2.764.1       88 032  Wam.dll          x86

   20/08/1999  12:26  4.0.1381.321   171 280  W3svc.dll     Alpha
REMARQUE : vous pouvez installer ce programme correctif sur des systèmes exécutant Microsoft Windows NT 4.0 Service Pack 5 ou Windows NT 4.0 Service Pack 6a.

Windows NT Server version 4.0, Édition Terminal Server

Pour résoudre ce problème, procurez-vous le SRP (Security Rollup Package) de Windows NT Server 4.0, Édition Terminal Server . Pour plus d'informations sur le SRP, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :
317636 Windows NT Server 4.0, Édition Terminal Server, Security Rollup Package

Statut

Internet Information Services 5.0

Microsoft a confirmé que ce problème pouvait constituer un certain risque pour la sécurité dans Microsoft Internet Information Services 5.0.

Internet Information Server 4.0

Microsoft a confirmé que ce problème pouvait constituer un certain risque pour la sécurité dans Microsoft Internet Information Server 4.0.

Plus d'informations

Pour plus d'informations sur la procédure à suivre pour obtenir un correctif pour Windows 2000 Datacenter Server, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :
265173 Le programme Datacenter et Windows 2000 Datacenter Server
Pour plus d'informations sur l'installation de plusieurs correctifs en un seul redémarrage, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :
296861 Utilisation du fichier QChain.exe pour installer plusieurs correctifs en un seul redémarrage
Pour plus d'informations sur ce problème de sécurité, reportez-vous au site Web de Microsoft à l'adresse suivante :
http://www.microsoft.com/technet/security/bulletin/ms01-026.mspx

Propriétés

Numéro d'article: 295534 - Dernière mise à jour: mardi 4 février 2014 - Version: 3.3
Les informations contenues dans cet article s'appliquent au(x) produit(s) suivant(s):
  • Microsoft Internet Information Services 5.0
  • Microsoft Internet Information Server 4.0
Mots-clés : 
kbnosurvey kbarchive kbqfe kbhotfixserver kbbug kbfix kbgraphxlinkcritical kbsechack kbsecurity kbsecvulnerability kbwin2000presp3fix kbwin2000sp3fix kbwinnt400presp7fix KB295534
L'INFORMATION CONTENUE DANS CE DOCUMENT EST FOURNIE PAR MICROSOFT SANS GARANTIE D'AUCUNE SORTE, EXPLICITE OU IMPLICITE. L'UTILISATEUR ASSUME LE RISQUE DE L'UTILISATION DU CONTENU DE CE DOCUMENT. CE DOCUMENT NE PEUT ETRE REVENDU OU CEDE EN ECHANGE D'UN QUELCONQUE PROFIT.

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com