Kelemahan server web Microsoft IIS 6 yang belum ditambal memengaruhi jutaan situs web

Microsoft mungkin tidak dapat memperbaiki kerentanan zero-day di versi lama server web Layanan Informasi Internet yang ditargetkan oleh penyerang pada Juli dan Agustus tahun lalu. Eksploitasi memungkinkan penyerang mengeksekusi kode berbahaya di server Windows yang menjalankan IIS 6.0 saat hak pengguna menjalankan aplikasi. Eksploitasi proof-of-concept untuk kerentanan di IIS 6.0 sekarang tersedia untuk dilihat di GitHub dan sementara IIS 6.0 tidak lagi didukung, itu tetap digunakan secara luas bahkan hingga hari ini. Dukungan untuk versi IIS ini dihentikan pada bulan Juli tahun lalu bersama dengan dukungan untuk Windows Server 2003, produk induknya.

Berita tersebut menimbulkan kekhawatiran di kalangan profesional keamanan karena survei server web menunjukkan bahwa IIS 6.0 masih digunakan oleh jutaan situs web publik. Juga, ada kemungkinan bahwa sejumlah besar perusahaan masih dapat menjalankan aplikasi web di Windows Server 2003 dan IIS 6.0 di dalam organisasi mereka. Oleh karena itu, penyerang dapat menggunakan kelemahan tersebut untuk melakukan gerakan lateral jika mereka mendapatkan akses ke jaringan perusahaan.

Sebelum dipublikasikan di GitHub, hanya beberapa penyerang yang mengetahui kerentanannya — hingga saat ini. Sekarang, ada bukti bahwa banyak penyerang sekarang memiliki akses ke kelemahan yang belum ditambal. Vendor keamanan Trend Micro menawarkan penjelasan berikut untuk kerentanan:

Penyerang jarak jauh dapat mengeksploitasi kerentanan ini di Komponen WebDAV IIS dengan permintaan yang dibuat menggunakan metode PROPFIND. Eksploitasi yang berhasil dapat mengakibatkan kondisi penolakan layanan atau eksekusi kode arbitrer dalam konteks pengguna yang menjalankan aplikasi. Menurut para peneliti yang menemukan kelemahan ini, kerentanan ini dieksploitasi di alam liar pada Juli atau Agustus 2016. Hal itu diungkapkan kepada publik pada 27 Maret. Pelaku ancaman lainnya sekarang dalam tahap membuat kode berbahaya berdasarkan kode proof-of-concept (PoC) asli.

Trend Micro mencatat bahwa Web Distributed Authoring and Versioning (WebDAV) adalah perpanjangan dari Hypertext Transfer Protocol standar yang memungkinkan pengguna membuat, mengubah, dan memindahkan dokumen di server. Ekstensi menyediakan dukungan untuk beberapa metode permintaan seperti PROPFIND. Perusahaan merekomendasikan untuk menonaktifkan layanan WebDAV pada penginstalan IIS 6.0 untuk membantu mengurangi masalah.