Denegación de servicio en Microsoft IIS 5.1

Se ha descubierto una vulnerabilidad en Microsoft IIS (Internet
Information Server) 5.1 que puede ser explotada por atacantes remotos
para provocar denegaciones de servicio.

La realización de peticiones anónimas maliciosas pueden cesar la
ejecución del proceso del servicio IIS (inetinfo.exe). Estas
peticiones sólo requieren que se envíen ciertas cadenas para provocar
la caída del servicio. Un ejemplo de petición maliciosa sería la
siguiente:
http://[direccion]/_vti_bin/.dll/*\~0

Este problema es explotable en instalaciones con carpetas virtuales
que tengan permisos de ejecución para scripts y ejecutables, como
puede ser "/_vti_bin".

Si bien el problema afecta a la versión 5.1 de IIS, se confirma que
las versiones 5.0 y 6.0 no se ven afectadas. Se informa además de que
IIS 5.1 arrancará automáticamente tras su caída, aunque la denegación
de servicio puede perpetuarse mediante la repetición continuada de
peticiones maliciosas.

A la espera de la publicación de un parche que solvente este problema,
se recomienda filtrar en las peticiones los caracteres maliciosos
("~0", "~1", "~2", "~3", "~4", "~5", "~6", "~7", "~8", o "~9", sin las
comillas) usando un proxy que ofrezca dicha funcionalidad.

Julio Canto
jcanto@hispasec.com

Más información:

Microsoft IIS Malformed URI DoS (_vti_bin, _sharepoint)
http://www.securiteam.com/windowsntfocus/6E00E2KEUS.html

Microsoft IIS Remote DoS .DLL Url exploit
http://ingehenriksen.blogspot.com/2005/12/microsoft-iis-remote-dos-dll-url.html