Microsoft ISA Server HTTP验证机制漏洞

无名客

涉及程序：
Microsoft ISA Server HTTP
  
描述：
Microsoft ISA Server HTTP验证机制漏洞
  
详细：
Microsoft Internet Security和Acceleration Server 2000是一款微软开发的防火墙和代理服务器程序。

Microsoft ISA Server包含的一个HTTP验证机制存在问题，远程攻击者可以利用这个漏洞允许使用不安全机制忽略需要SSL的配置而进行验证，导致敏感信息泄露。

当进入的请求发送给运行ISA服务器时，Web publishing规则处理这请求需要进行验证，ISA服务器开始返回"401 Unauthorized"应答用于对客户的验证握手处理，应答独立于客户端使用的协议(HTTP或HTTPS)，在成功验证之后，ISA服务器会检查相关Web publishing规则的属性，如果规则配置为需要SSL，请求就会使用"403" (12211)应答进行拒绝，问题就发生在这里，因为Basic验证信息在"403"应答信息发送之前就已经使用HTTP传送出去。而且Basic验证信息以BASE64编码处理，因此攻击者就可以通过窃听网络获得这些明文的Basic信息，在进行还原获得认证敏感信息。

受影响系统：
Microsoft ISA Server 2000
Microsoft ISA Server 2000 SP1
?- Microsoft Windows 2000 Server SP2
?- Microsoft Windows 2000 Server SP1
?- Microsoft Windows 2000 Datacenter Server SP2
?- Microsoft Windows 2000 Datacenter Server SP1
?- Microsoft Windows 2000 Advanced Server SP2
?- Microsoft Windows 2000 Advanced Server SP1
不受影响系统：
Microsoft ISA Server 2000 SP2
  
攻击方法：
暂无有效攻击代码
  
解决方案：
临时解决方法：

如果您不能立刻安装补丁或者升级，安络科技建议您采取以下措施以降低威胁：

* 在任何站点关闭URL重定向选项及设置内容规则拒绝对指定目标的访问。

厂商补丁：

Microsoft
---------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

Microsoft Upgrade Internet Security and Acceleration (ISA) Server 2000 Service Pack http://www.microsoft.com/downloads/details.aspx?FamilyID=c8d3d98b-1cd4-406a-a04a-2aa2547d09a3&;DisplayLang=en
  
附加信息：
BUGTRAQ ID: 10481

爱国人士

我晕了，ISA2000的SP2都有了，ISA2004预计将在今年的9月上市，ISA2004同时也将推出中文版