IIS狙いのゼロデイ攻撃発生、MSがアドバイザリー更新

IISの未解決の脆弱性を突く「限定的な攻撃」が発生した。

[ITmedia]

　MicrosoftのInternet Information Services（IIS）に未解決の脆弱性が見つかった問題で、この問題を実際に悪用した攻撃が確認されたとして、米Microsoftがブログやアドバイザリーで改めて注意を促した。

　この問題を突いたエクスプロイトコードは、研究者によって先に公開されていたが、Microsoftは9月3日までに、このエクスプロイトコードを使った「限定的な攻撃」の発生を確認したとしている。

　さらに、Windows XPとWindows Server 2003にサービス妨害（DoS）攻撃を仕掛けるコンセプト実証コード（PoC）、およびWindows VistaとWindows Server 2008に組み込まれているFTP 6にDoS攻撃を仕掛けるPoCも新たに公開されたという。なお、Windows VistaとWindows Server 2008では、これらエクスプロイトの影響を受けないFTP 7.5をダウンロードセンターから入手できる。

　脆弱性はIIS 5.0／5.1／6.0／7.0のFTPサービスに存在する。悪用された場合、DoS攻撃を誘発される恐れがあるほか、IIS 5.0ではリモートでコードを実行される可能性もあるという。

　Microsoftは9月3日付でアドバイザリーを更新し、回避策に関する情報などを追加。脆弱性修正のためのアップデートは現在開発中で、当面の攻撃を回避するための予防策を取るよう改めて呼び掛けている。

過去のセキュリティニュース一覧はこちら