Microsoft ASP.NET にリクエストのスケジューリングでサービス拒否の脆弱性

危険性

中

発見日

2009 年 8 月 11 日

解説

Microsoft ASP.NET にサービスが拒否される脆弱性が存在します。攻撃者がこの問題を悪用すると、影響を受ける Web サーバーでアプリケーションプールが応答しなくなり、正当なユーザーに対するサービスを拒否することが可能になります。
メモ: この問題の影響を受けるのは、統合モードで llS 7 を実行している Web サーバーの ASP.NET のみです。

影響を受ける技術

Microsoft .NET Framework 2.0
Microsoft .NET Framework 2.0 SP1
Microsoft .NET Framework 2.0 SP2
Microsoft .NET Framework 3.5
Microsoft .NET Framework 3.5 SP1

推奨する対策

外部からサービスが要求されない限り、外部からのアクセスをネットワークの境界でブロックしてください。

グローバルなアクセスが不要の場合は、影響を受けるコンピュータへのアクセスをネットワークの境界でフィルタ処理してください。信頼できるコンピュータやネットワークへのアクセスに限定することで、この脆弱性の悪用が成功する危険性を大幅に軽減できます。

ネットワーク侵入検知システム (NIDS) を導入してネットワークトラフィックを常時監視させます。

ネットワーク侵入検知システム (NIDS) を導入し、ネットワークトラフィック上で異常な、または不審なアクティビティの兆候がないかどうかを監視します。このような状況は、この脆弱性が悪用され、その結果不正アクセスが試みられたり実行されたことを示している場合があります。

マイクロソフト社はセキュリティ情報と修正プログラムをリリースしました。詳しくは、次の参考情報をご参照ください。

参考情報

クレジット

本件の発見者は、Digitaria 社の Alexander Pfandt 氏です。

本サイトの記載情報の電子媒体による頒布は、Symantec Security Response の許可なく改ざんを行わない場合に限り認められています。本サイトに記載された情報の一部または全部を電子媒体以外の媒体へ複製または印刷する場合は、必ず事前にシマンテックの許可を得る必要があります。

免責事項

本サイトの記載情報は、公開時点で確認されていた情報を基に正確であると判断された内容で構成されています。本サイトの記載情報の使用は、現状のままとすることを条件に認められています。本サイトの記載内容について、シマンテックは一切保証しないものとします。また、本サイトの記載情報の使用あるいは信頼性に関連して生じる直接的、間接的、派生的な損失または損害に関して、本サイトの著者も発行者も一切責任を負わないものとします。 Symantec、Symantec Security Response、およびシマンテックの各製品名は、Symantec Corporation またはその関連会社の米国および各国における登録商標です。

その他の会社名、製品名は各社の商標または登録商標です。