alerte de vulnérabilité 11736

Microsoft IIS, .NET : déni de service via tilde

Synthèse de la vulnérabilité

Un attaquant peut employer des requêtes utilisant le caractère tilde (~), afin de créer un déni de service temporaire sur IIS avec .NET.
Produits concernés : IIS, .NET Framework.
Gravité : 1/4.
Date création : 03/07/2012.
Références : VIGILANCE-VUL-11736.

Description de la vulnérabilité

Afin d'assurer la compatibilité avec les applications MS-DOS, un nom de fichier long possède un équivalent court, contenant un caractère tilde (~). Par exemple :
  fichierLong.txt
  fichi~1.txt (équivalent court)

Cependant, l'environnement Microsoft .NET consomme de nombreuses ressources pour retrouver le nom long équivalent. Par exemple, une url contenant de nombreuses fois "~1" peut induire plusieurs millions d'appels système.

Un attaquant peut donc employer des requêtes utilisant le caractère tilde (~), afin de créer un déni de service temporaire sur IIS avec .NET.
Bulletin Vigil@nce complet.... (accès gratuit)

Partagez ce bulletin

          

Service de veille sur les vulnérabilités informatiques

Vigil@nce fournit des avis de vulnérabilités informatiques. La base de vulnérabilités Vigil@nce contient plusieurs milliers de failles. Le service de veille sur les vulnérabilités informatiques Vigil@nce alerte vos équipes des failles et des menaces qui concernent votre système d'information. Chaque administrateur peut personnaliser la liste des produits pour lesquels il souhaite recevoir des alertes de vulnérabilités.