公開日：2009/09/01　最終更新日：2009/10/14

JVNVU#276653
Microsoft Internet Information Services FTP サーバにおけるバッファオーバーフローの脆弱性

概要

Microsoft Internet Information Services (IIS) FTP サーバには、バッファオーバーフローの脆弱性が存在します。

影響を受けるシステム

  • Microsoft Internet Information Services 5.0 (FTP サービス5.0)
  • Microsoft Internet Information Services 5.1 (FTP サービス5.1)
  • Microsoft Internet Information Services 6.0 (FTP サービス6.0)
  • Microsoft Internet Information Services 7.0 (FTP サービス6.0)

詳しくはマイクロソフトが提供する情報をご確認ください。

詳細情報

マイクロソフトが提供する IIS には、FTP サーバ機能が含まれています。 IIS の FTP サーバには、細工されたディレクトリ名の解析に起因するスタックバッファオーバーフローの脆弱性が存在します。攻撃者は FTP サーバに対して、書き込みの権限がある場合にのみ細工されたディレクトリを作成することが可能です。

想定される影響

サーバにログイン可能な利用者によって、任意のコードを実行される可能性があります。

対策方法

アップデートする
Microsoft が提供する情報をもとにアップデートしてください。

ワークアラウンドを実施する
対策版が公開されるまでの間、以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

  • FTP サーバに対して匿名ユーザでの書き込み権限を無効にする

その他の回避策につきましては、マイクロソフトが提供する情報をご確認ください。

ベンダ情報

ベンダ リンク
マイクロソフト マイクロソフト セキュリティ情報 MS09-053 - 重要
Microsoft Security Bulletin MS09-053 - Important
Microsoft Security Advisory (975191)
マイクロソフト セキュリティ アドバイザリ (975191)

参考情報

  1. Vulnerability Note VU#276653
    Microsoft Internet Information Server (IIS) FTP server NLST stack buffer overflow
  2. JVNTA09-286A
    Microsoft 製品における複数の脆弱性に対するアップデート

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

2009.09.01における脆弱性分析結果

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
  • 高
認証レベル システムに正規登録されている一般ユーザのアカウントが必要
  • 低 - 中
攻撃成立に必要なユーザーの関与 ユーザが何もしなくても脆弱性が攻撃される可能性がある
  • 高
攻撃の難易度 専門知識や運がなくとも攻撃可能
  • 高

各項目の詳しい説明

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2009-3023
CVE-2009-2521
JVN iPedia

更新履歴

2009/09/02
影響を受けるシステムを更新し、ベンダ情報のリンクおよび関連文書に CVE のリンクを追加しました。
2009/09/03
ベンダ情報にマイクロソフト セキュリティ アドバイザリ (975191)日本語版のリンクを追加し、対策方法を更新しました。
2009/09/07
影響を受けるシステムを更新し、関連文書に CVE のリンクを追加しました。
2009/10/14
対策情報の更新、ベンダ情報および参考情報にリンクを追加しました。