MicrosoftのIISに脆弱性、ファイル拡張子の処理に問題

[ITmedia]

　SANS Internet Storm Centerは12月24日、MicrosoftのInternet Information Services（IIS）に、ファイル拡張子の処理に関する脆弱性が見つかったと伝えた。リスクはそれほど高くないとみられるが、Microsoftの公式パッチが公開されるまでの間、回避策を取るよう呼び掛けている。

　SANSによると、例えば「malicious.asp;.jpg」のような複数の複数の拡張子を持つファイルを、ASPファイルとして処理してしまう問題があることが分かった。この問題を悪用すれば、攻撃者がファイル拡張子による制限をかわしてWebサーバ上に悪質な実行可能ファイルをアップロードすることができてしまうとしている。

　仏VUPENによれば、この脆弱性はIIS 5.xと6.xに存在する。深刻度は4段階で下から2番目に低い「Moderate」と評価。デンマークのセキュリティ企業Secuniaの深刻度評価も5段階で下から2番目の「Less critical」となっている。

過去のセキュリティニュース一覧はこちら

企業向け情報を集約した「ITmedia エンタープライズ」も併せてチェック

関連ホワイトペーパー

脆弱性 | Microsoft（マイクロソフト）