Questa volta il bug coinvolge il framework 2.0, e mi raccomando fare l'upgrade molto rapidamente è caldamente consigliato.
Il problema è parecchio serio in quanto permette a un utente web di bypassare il meccanismo di sicurezza e di avere accesso non autorizzato agli oggetti presenti nella cartella Application, fortunatamente la vulnerabilità non da diritti in esecuzione e non permette una privilege escalation ma permette l'accesso a dati sensibili in grado di compromettere il sistema.
Per maggiori dettagli:
http://www.microsoft.com/technet/security/Bulletin/MS06-033.mspx
http://www.securityfocus.com/bid/18920/info
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-1300
mi hai preceduto in quanto stavo facendo dei controlli, e come dici correttamente le estensioni sono protette (sempre e solo con asp.net 2.0)
Una soluzione proposta e che IMHO trovo la migliore a livello di sicurezza è quella di rimuovere l'attributo READ nella folder a livello di IIS ma questo impedisce il debug da remoto e la reflection, e per un server di produzione ci può stare ma per un server di sviluppo non è proprio la soluzione ottimale
ITHost wrote:
Una soluzione proposta e che IMHO trovo la migliore a livello di sicurezza è quella di rimuovere l'attributo READ nella folder a livello di IIS ma questo impedisce il debug da remoto e la reflection, e per un server di produzione ci può stare ma per un server di sviluppo non è proprio la soluzione ottimale
ancora meglio fare come ho sempre fatto io
cioè, mettere questi file fuori dal percorso raggiungibile via web. e questa cosa funziona bene in sviluppo e produzione 
Aggiungi un nuovo commento »»»
Per inserire un commento, devi registrarti alla nostra community.
Stampa 
Download 
10annidi.ASPItalia.com: iscriviti alla competizione e vinci fantastici premi ogni mese!
Christian Paparelli wrote:
veramente sono i file non-standard in /App_Data/, perchè le estensioni di SQL Server Express, .config, .aspx e più in generale quelle mappate su ASP.NET sono già protette.
se aggiungi un file .ciccio allora c'è questo problema e la patch lo risolve bloccando tutto
Continua »»» | Rispondi »»»