微軟 XP/Vista IIS FTP 服務緩衝區溢出漏洞 (0day) 臨時緩解方案

近日在 milw0rm 發現一個針對 Microsoft IIS 5.0/6.0 FTP 服務的遠程堆疊緩衝區溢出攻擊代碼 (由 kcope 發布)。雖攻擊者稱僅對 Windows 2000 (IIS 5.0) 有效，但安全專家證實其他 IIS 版本同樣存在風險，微軟較新作業系統雖有緩解機制但仍需重視。

微軟已展開調查，確認漏洞屬實後將在下週「補丁星期二」釋出修補程式。

漏洞描述

IIS FTP 服務在解析目錄名稱時存在緩衝區溢出。遠程攻擊者透過提交包含特殊命名目錄的 FTP NLST (NAME LIST) 命令，觸發堆疊緩衝區溢出，可在應用程式權限下執行任意指令，甚至安裝惡意軟體。受害者必須啟用 FTP 協定才會受影響。

目前已出現利用代碼，攻擊條件為：需具備 FTP 匿名寫入權限或合法帳號以建立特殊命名目錄。因此可暫時禁用匿名 FTP 寫入權限以緩解風險。

受影響軟體

• Microsoft IIS 6.0
• Microsoft IIS 5.0

攻擊代碼範例

• Microsoft IIS 5.0/6.0 FTP Server Remote Stack Overflow Exploit (win2k)
• Microsoft IIS 5.0 FTP Server Remote Stack Overflow Exploit (win2k sp4)

臨時緩解措施

1. 關閉 FTP 伺服器的寫入權限，禁止建立檔案與目錄。
2. 啟用 FTP 帳號驗證機制，禁止匿名登入。
3. 嚴格環境下，限制僅允許授權 IP 連線 FTP 服務。