Kritisk feil i FrontPage Server må rettes

Microsoft anbefaler alle som kjører FrontPage Server Extensions 2000 eller 2002 å straks installere en sikkerhetsfiks.

FrontPage er del av Microsofts publiseringsløsning for nettsteder. FrontPage Server Extensions brukes til løpende drift, og installeres automatisk samtidig med Microsofts webserver IIS. Microsoft har lenge advart nettstedansvarlige at de bør avinstallere FrontPage Server Extensions (FPSE) hvis de ikke trenger dem.

En nyoppdaget feil i FPSEs html-lesers (SmartHTML interpreter) håndtering av dynamisk innhold kan utnyttes til å angripe nettsteder. Feilen slår forskjellig ut, avhengig av om nettstedet bruker FPSE 2000 eller 2002. På FPSE 2000 kan sårbarheten utnyttes til å overbalaste serveren slik at den etter hvert ikke kan betjene legitime henvendelser. På FPSE utløser sårbarheten en oversvømmelse i en buffer, som en angriper kan utnytte til å kjøre vilkårlig kode, altså overta kontrollen over serveren, legge igjen en bakdør og så videre.

Microsoft angir tre måter å løse problemet på. Man kan avinstallere FPSE, bruke IIS Lockdown Tool til å sette html-leseren ute av spill, eller installere en sikkerhetsfiks. Les nærmere detaljer på Microsoft Security Bulletin MS02-053: Buffer Overrun in SmartHTML Interpreter Could Allow Code Execution.

Til toppen