【51CTO.com快譯自9月2日外電頭條】網(wǎng)絡(luò)安全機(jī)構(gòu)US-CERT（the U.S. Computer Emergency Readiness Team，美國(guó)計(jì)算機(jī)應(yīng)急響應(yīng)小組）日前發(fā)出警告稱針對(duì)微軟IIS 5.0和6.0中FTP模塊的零日漏洞的概念證明代碼（proof-of-concept code）已經(jīng)在網(wǎng)絡(luò)上現(xiàn)身。

“我們注意到有一個(gè)漏洞被公開(kāi)，主要目標(biāo)是攻擊微軟Internet信息服務(wù)（IIS）中的FTP服務(wù)，”US-CERT的發(fā)言人表示，“這個(gè)漏洞會(huì)讓遠(yuǎn)程攻擊者有可能獲得對(duì)系統(tǒng)的控制權(quán)并且執(zhí)行任意代碼。”

根據(jù)報(bào)道，該漏洞的攻擊代碼被公布在黑客組織Milw0rm網(wǎng)站，目前看來(lái)這個(gè)漏洞似乎主要影響舊版本的IIS，而且只有當(dāng)FTP功能啟用的時(shí)候才會(huì)起作用。因此US-CERT建議IT管理員暫時(shí)“禁用IIS FTP服務(wù)器的匿名寫(xiě)入權(quán)限，作為風(fēng)險(xiǎn)緩解措施”，但他們又補(bǔ)充說(shuō)“應(yīng)在采取防御措施之前進(jìn)行適當(dāng)?shù)挠绊懶苑治觥！薄?1CTO.com編輯提醒：IIS5.0在缺省設(shè)置下是開(kāi)啟FTP功能的，IIS6.0得手動(dòng)選擇，不過(guò)很多管理員為了工作方便也會(huì)把自帶的FTP打開(kāi)傳文件。因此51CTO編輯建議，在補(bǔ)丁沒(méi)有發(fā)布之前請(qǐng)立即關(guān)閉匿名FTP功能以降低安全風(fēng)險(xiǎn)。】

這個(gè)漏洞的風(fēng)險(xiǎn)細(xì)節(jié)以及影響程度目前尚不清楚，賽門鐵克的研究人員并沒(méi)有立即發(fā)表評(píng)論，他們?nèi)栽趯?duì)這個(gè)漏洞的概念證明代碼進(jìn)行分析。

而據(jù)微軟表示，他們已經(jīng)開(kāi)始研究公布的漏洞并且準(zhǔn)備提供合理的保護(hù)措施。“目前還沒(méi)有發(fā)現(xiàn)任何試圖利用該漏洞發(fā)起的攻擊或?qū)蛻粼斐扇魏斡绊懀蔽④洶l(fā)言人在電子郵件中聲明。微軟表示一旦漏洞被確認(rèn)，將采取一切可能的步驟保護(hù)客戶。

微軟通常會(huì)在每月的第二個(gè)星期二發(fā)布微軟安全公告。下一次的微軟安全公告將在9月8日公布，所以按慣例微軟會(huì)在本周四發(fā)布下周二安全公告的初步信息。因此我們可以觀察一下，看看微軟是否還有足夠的時(shí)間在九月份的常規(guī)補(bǔ)丁中解決這個(gè)漏洞。

【編輯推薦】

1. IIS驚現(xiàn)0day 服務(wù)器匿名FTP應(yīng)立即關(guān)閉
2. 攻擊悄然來(lái)臨 該如何保障IIS安全
3. 保護(hù)IIS Web服務(wù)器的15個(gè)技巧
4. IIS常見(jiàn)攻擊漏洞及技巧大全

【51CTO.com譯稿，非經(jīng)授權(quán)請(qǐng)勿轉(zhuǎn)載。合作站點(diǎn)轉(zhuǎn)載請(qǐng)注明原文譯者和出處為51CTO.com，且不得修改原文內(nèi)容。】

原文：Microsoft IIS Zero-Day Vulnerability Reported作者：Thomas Claburn