Microsoft Internet Information Services (IIS) のバッファオーバーフローの脆弱性（CVE-2017-7269）

何が起きた

Microsoft Windows Server 2003 R2 の Webサーバー機能 Internet Information Services (IIS) 6.0 で、WebDAV という機能の中の処理にバッファオーバーフローの弱点が見つかりました。特定の文字列で始まる長いヘッダーを付けた PROPFIND という要求を送ることで、離れた場所から任意のコードを実行できます。実際の悪用が確認されています。NVD の評価では、攻撃はネットワーク経由で行われ、攻撃者に権限は不要で、被害者の操作も不要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Windows Server 2003 R2 で IIS 6.0 を動かしているサーバーが対象です。Microsoft のライフサイクルの情報では、Windows Server 2003 と Windows Server 2003 R2 のサポートは 2015年7月に終わっています。

何をすればいい

Microsoft の公式の案内を確認してください。Microsoft は古い製品向けの勧告 4025685 で、この弱点を攻撃の危険が高いものの一つに挙げ、Windows Server 2003 と 2003 R2 の利用者には技術情報 4025687 の案内に従って更新するよう示しています。あわせて、サポートされている製品へ移行する計画を立てるよう勧めています。

やることチェックリスト

• 技術情報 4025687 に従い更新を適用する
• サポート中の Windows Server へ移行する
• Windows Server 2003 R2 の IIS 6.0 の有無を確かめる

用語メモ

WebDAV

Webサーバー上のファイルを、ネットワーク越しに読み書きできるようにする仕組みです。

バッファオーバーフロー 用語集で見る

決められた大きさの入れ物（メモリ）に、入りきらない量のデータを書き込ませる弱点です。攻撃者のコードを動かされる原因になります。

PROPFIND

WebDAV で、ファイルの情報を問い合わせるときに使う要求の種類です。