Sicherheitslücke in IIS 6.0: Angreifer können Dateien auf Ihren Server kopieren

In den Internet Information Services (IIS) 6.0 wurde eine Sicherheitslücke entdeckt, die es Angreifern ermöglicht, beliebige Dateien auf Ihren Server zu kopieren.

Allerdings funktioniert dies nur bei Ordnern, die Sie explizit per WebDav freigegeben haben. Diese Funktion ist nach der Installation der IIS 6.0 sogar zunächst deaktiviert, bis Sie sie manuell aktivieren. Viele IIS-Installationen sind dadurch nicht von der Sicherheitslücke betroffen. In den aktuellen IIS 7.0 existiert die Sicherheitslücke übrigens nicht.

Haben Sie allerdings WebDav, also die Freigabe von Ordnern über http oder https, aktiviert, sollten Sie die Sicherheitslücke ernst nehmen. Durch sie können Angreifer beispielsweise Ihre Festplatte vollaufen lassen und so Ihren Server außer Gefecht setzen. Oder aber sie laden schädliche Dateien hoch, die dann von neugierigen Benutzern ausgeführt werden.

Sofern Sie die WebDav Freigabe benötigen und nicht bis zum Erscheinen eines Updates deaktivieren können, sollten Sie die freigegebenen Ordner möglichst ständig von einem Antiviren-Programm überwachen lassen und auch die Größe der Freigabe im Auge behalten. Am besten richten Sie sogar über die Kontingent-Funktion eine Größenbeschränkung ein.