Cada uno celebra la Navidad como quiere, por ejemplo Soroush Dalili ha regalado a los chicos de Microsoft trabajo extra para estas fechas tan señaladas. La liberación de la vulnerabilidad de "punto y coma en IIS" o como reza el título del documento: "Microsoft IIS 0Day Vulnerability in Parsing Files (semi‐colon bug)" permite que cualquier extensión de archivo sea ejecutada como un Active Server Page (ASP) o cualquier otro tipo de ejecutable. Ho-ho-ho. Feliz Navidad.
Con un ejemplo el problema se entenderá mejor. Si tenemos un foro que permite la subida de un fichero de imagen para nuestro perfil y la aplicación únicamente comprueba que la extensión sea un archivo jpeg, un usuario gamberro podría mandar un archivo con nombre "mifoto.asp;.jpg" y este sería ejecutado como un asp. Esto le permitiría al usuario cosas como la ejecución de comandos, lectura de ficheros del sistema y otras cuantas por las que los Reyes Magos le traerían mucho carbón.
Con un ejemplo el problema se entenderá mejor. Si tenemos un foro que permite la subida de un fichero de imagen para nuestro perfil y la aplicación únicamente comprueba que la extensión sea un archivo jpeg, un usuario gamberro podría mandar un archivo con nombre "mifoto.asp;.jpg" y este sería ejecutado como un asp. Esto le permitiría al usuario cosas como la ejecución de comandos, lectura de ficheros del sistema y otras cuantas por las que los Reyes Magos le traerían mucho carbón.
No he llegado a probarla, pero es tan ridícula que seguro que funciona perfectamente. Queda esperar que dicen los pro-Microsoft, además de protegerse bajo el discurso de que no afecta a aplicaciones bajo tecnología .NET (aspx). Por otra parte, Secunia confirma su existencia en IIS6 y la cataloga como Less Critical (2 sobre 5)
