Una vulnerabilidad de Desbordamiento de Búfer en la función ScStoragePathFromUrl en el servicio WebDAV de Internet Information Server (IIS) 6.0 descubierta por Zhiniang Peng y Chen Wu de South China University. Lamentablemente y aunque parezca mentira, según Shodan todavía hay más de 600.000 instalaciones de IIS 6.0. IIS 6.0 representa el 11,3%, aproximadamentede servidores web.





 Esta vulnerabilidad descubierta por Zhiniang Peng y Chen Wu de South China University, e identificada como CVE-2017-7269 permite a atacantes remotos ejecutar código remoto a través de un encabezado largo que comienza con "If: [http://" en un Request PROPFIND. Al parecer existe un exploit In-the-Wild desde julio de 2016.

• http://www.webdav.org/specs/rfc4918.html#METHOD_PROPFIND

PROPFIND / HTTP/1.1\r\nHost: localhost\r\nContent-Length: 0\r\n

If:  () 
([“ETag”]) ([“ETag”])

Debido a la gran cantidad de IIS 6.0 todavía en línea, se recomienda actualizar a versiones superiores de inmediato. 

Si no es posible actualizar la versión Windows y de IIS, se puede desactivar el verbo PROPFIN usando URLscan.

PROPFIND  ; Deny property queries.

• https://www.iis.net/learn/extensions/working-with-urlscan/urlscan-3-reference#DenyVerbsSection
•  https://0patch.blogspot.com.es/2017/03/0patching-immortal-cve-2017-7269.html

Millones de sitios web se ven afectados por una vulnerabilidad de día cero de desbordamiento de búfer, identificada como CVE-2017-7269, que reside en el IIS 6.0.

El fallo fue descubierto por dos investigadores con el Laboratorio de Seguridad de la Información y la Escuela de Ciencias de la Computación e Ingeniería de la Universidad de Tecnología de la China del Sur en Guangzhou, China, que publicó un código PoC para explotarlo en GitHub.

• https://github.com/edwardz246003/IIS_exploit

Microsoft ya ha reconocido la vulnerabilidad que fue explotada en estado salvaje enntre julio o agosto de 2016.

Más de 8 millones de sitios web podrían verse afectados por la falla que reside en la función ScStoragePathFromUrl del servicio Web Distributed Authoring and Versioning (WebDAV) en IIS 6.0 de Windows Server 2003 R2.

El problema es causado por la validación incorrecta de un encabezado "IF" en una solicitud de PROPFIND y podría permitir a un atacante activar una condición de denegación de servicio o ejecutar código arbitrario.

"Microsoft Internet Information Services (IIS) 6.0 es vulnerable a una vulnerabilidad de desbordamiento de búfer de día cero (CVE-2017-7269) debido a una validación incorrecta de un encabezado 'IF' en una solicitud de PROPFIND", lee el análisis publicado por Trend Micro .

IIS 6.0 defecto

"Un atacante remoto podría explotar esta vulnerabilidad en el componente IIS WebDAV con una solicitud hecha a mano utilizando el método PROPFIND. Una explotación exitosa podría resultar en condición de denegación de servicio o ejecución de código arbitrario en el contexto del usuario que ejecuta la aplicación. "

La extensión WebDAV (Web Distributed Authoring and Versioning) del protocolo HTTP permite a los clientes realizar operaciones de autoría de contenido web remoto. Permite extender los métodos HTTP de soporte, incluyendo COPY, LOCK, MKCOL, PROPFIND y UNLOCK.

"Esta vulnerabilidad se explota utilizando el método PROPFIND y el encabezado IF. El método PROPFIND recupera las propiedades definidas en el recurso identificado por el URI de solicitud. Todos los recursos compatibles con WebDAV deben soportar el método PROPFIND. "Continúa el análisis.

El impacto de esta vulnerabilidad es amplio, según los datos proporcionados por los W3Techs, el IIS de Microsoft es actualmente la tercera solución de servidor web más popular en internet (11,4% de todos los sitios web). IIS 6.0 representa el 11,3%, aproximadamente 1,3% de todos los sitios web en Internet.




La vulnerabilidad no afecta a versiones más recientes de Microsoft Internet Information Services.

De acuerdo con BuiltWith, IS 6.0 versión es actualmente utilizado por el 2,3% de todo Internet, más de 8,3 millones de sitios web en vivo están utilizando IIS 6.0.

Con el fin de mitigar el riesgo de ataques cibernéticos, es posible desactivar el servicio WebDAV en las instalaciones de IIS 6.0.

"Para mitigar el riesgo, se recomienda inhabilitar el servicio WebDAV en la vulnerable instalación de IIS 6.0. Las versiones más recientes de Windows Server enviadas con versiones más recientes de IIS no se ven afectadas por esta vulnerabilidad ", concluyó Trend Micro.

Fuentes:
http://securityaffairs.co/wordpress/57513/hacking/iis-6-0-zero-day.html
http://blog.segu-info.com.ar/2017/03/vulnerabildiad-critica-y-exploit-para.html
http://blog.trendmicro.com/trendlabs-security-intelligence/iis-6-0-vulnerability-leads-code-execution/