2011 PSN Hack Documentary: How Sony Failed Their Customers
Säkerhetsleverantörer varnar användarna av Microsofts Internet Information Services 6 webbserverprogramvara som en ny onlineangrepp skulle kunna riskera deras data.
Felet offentliggjordes torsdagen när säkerhetsforskaren Nikolaos Rangos lade upp uppgifter om sårbarhet för mailinglistan Full Disclosure Security. Genom att skicka en speciellt utformad HTTP-begäran till servern kunde han visa och ladda upp filer på maskinen. Attacken utnyttjar en bugg i det sätt som Microsofts mjukvara bearbetar Unicode-tokens, sa han.
Sårbarheten används i attacker på nätet, sade det amerikanska datorberedskapssamarbetet på måndag.
[Ytterligare läsning: Hur man ta bort skadlig kod från din Windows-dator]I ett uttalande sa Microsoft att det inte hade hört talas om sådana angrepp, men att det undersökte Rangos krav. "Vi arbetar med en säkerhetsrådgivare för att ge kunderna vägledning", säger bolaget måndag.
Felet påverkar IIS 6-användare som har aktiverat protokollen WebDAV (Web-based Distributed Authoring and Versioning), som delade dokument via Webben.
Det ger angripare ett sätt att visa skyddade filer på servern utan tillstånd och det kan också användas för att ladda upp filer också, enligt Thierry Zoller, en oberoende säkerhetsforskare som bekräftade Rangos fynd. Men Zoller sa att han inte hade hittat något sätt att använda denna fel för att köra obehörig programvara på en IIS-server.
Zoller sa att IIS 5 och IIS 7 inte verkar vara sårbara för attacken, men att det kan påverka andra Microsoft produkter som använder WebDAV-tekniken. "Bättre säker än förlåt", sa han via snabbmeddelande, "Inaktivera WebDAV tillfälligt och vänta på att Microsoft ska patchas."
I en e-postintervju sa Rangos att även med WebDAV-aktiverat, Exchange Server körs på IIS 6 och SharePoint Server påverkades inte av felet.
Cisco lät en liknande varning. "Administratörer av webbplatser som är värd för känslig information om IIS-servrar som använder WebDAV rekommenderas att sätta effektiva mildringar på plats direkt eftersom exploateringskoden är tillgänglig för allmänheten," sa företaget i en säkerhetsvarning som publicerades på sin webbplats.
Energy Star för servrar kan vara redo vid årsskiftet, EPA säger
EPA sa ett Energy Star-betyg för servrar kan vara redo i slutet av året.
Microsoft IIS-servrar som är utsatta för FTP-attacker
Windows-administratörer och IT-typer bör se upp för en seriös ny nolldag med FTP-tjänsten i Microsoft Internet Information Tjänster.
Hackers spricker två FreeBSD Project app dev-servrar
Hackers har äventyrat två servrar som används av FreeBSD Project för att bygga programvara från tredje part. Alla som har installerat sådana paket sedan den 19 september bör helt installera om sina maskiner, varnade säkerhetsgruppen.