Microsoft IIS WebDAV Unicode 要求目錄安全性繞過
high Nessus Plugin ID 38808
語系：
概要
可以透過 WebDAV 存取受保護的資源。說明
IIS 6.0 未正確清理 WebDAV 要求。攻擊者可以藉由在 URL 中插入 Unicode/(％c0％af) 來存取受保護的資源。視遠端伺服器的組態而定，受保護的資源可能遭到瀏覽、讀取和/或修改。
解決方案
停用 WebDAV 或更新伺服器。另請參閱
http://blog.zoller.lu/2009/05/iis-6-webdac-auth-bypass-and-data.html
http://www.nessus.org/u?36818b28
http://www.nessus.org/u?5fefdfc0
https://isc.sans.edu/diary/IIS6.0+WebDav+Remote+Auth+Bypass/6397
https://docs.microsoft.com/en-us/security-updates/SecurityAdvisories/2009/971492
Plugin 詳細資訊
嚴重性: High
ID: 38808
檔案名稱: webdav_iis6_flaw.nasl
版本: 1.21
類型: remote
系列: Web Servers
已發布: 2009/5/18
已更新: 2018/11/15
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: High
基本分數: 7.5
時間分數: 5.9
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
弱點資訊
排除在外的 KB 項目: Settings/disable_cgi_scanning
可被惡意程式利用: true
可輕鬆利用: Exploits are available
參考資訊
CVE: CVE-2009-1535
BID: 34993