JVNVU#787932
Microsoft IIS 6.0 WebDAV における認証回避の脆弱性

Microsoft Internet Information Services (IIS) には認証回避の脆弱性が存在します。

• Microsoft Internet Information Services 5.0
• Microsoft Internet Information Services 5.1
• Microsoft Internet Information Services 6.0

Web-based Distributed Authoring and Versioning (WebDAV) はサーバ上に存在するファイルを管理するための HTTP の拡張プロトコルです。WebDAV を実装している Microsoft IIS には Unicode トークンの処理に問題があり、認証回避が可能な脆弱性が存在します。

遠隔の第三者によって、アクセス制御を回避され、ファイルをダウンロードされたり、改ざんされたりするなどの可能性があります。

アップデートする
Microsoft が提供する情報をもとにアップデートを行ってください。

ワークアラウンドを実施する
以下の回避策を行うことで想定される影響を軽減できる可能性があります。

• WebDAV を無効化する
  WebDAV を無効化することで本脆弱性の影響を回避できます。IIS バージョン 6.0 では WebDAV を使用するサービスをインストールしていない場合、デフォルトで無効になっています。
• 外部からの HTTP リクエストをフィルタリングする
  HTTP ヘッダに "Translate: f" が含まれているリクエストを拒否することで本脆弱性の影響を軽減することが可能です。
  詳しくはマイクロソフト セキュリティ アドバイザリ (971492) をご確認ください。