Newsgroup: it.comp.www.asp
Titolo: SECURITY FOCUS: Webhits.dll Bug shows your source code to the world!

Le fonti sono di quelle attendibili. Meglio prendere sul serio la cosa.
****************************************
Imagine the URL of a typical ASP site:
http://www.yoursite.com/yourfile.asp
Now try this variation:
http://www.yoursite.com/null.htw?CiWebHitsFile=/yourfile.asp%20&CiRestrictio
n=none&CiHiliteType=Full
If you see your source code, you have the webhits.dll bug!
Microsoft's Fix is at:
http://www.microsoft.com/technet/security/bulletin/ms00-006.asp
****************************************
Ho postato la cosa prima di approfondirla, fidandomi di dove si legge il
warning. Scusate se poi risulta una bufala. L'ho fatto nell'interesse di
molti.
--
Ciao, Fabio Zed Zamparelli

 wrote in message
news:8ca95p$40a$2...@news.unina.it...


 Davide
Dalla pagina MS da me indicata:
Issue
This patch eliminates two vulnerabilities whose only relationship is that
both occur in Index Server. The first is the "Malformed Hit-Highlighting
Argument" vulnerability. The ISAPI filter that implements the
hit-highlighting (also known as "WebHits") functionality does not adequately
constrain what files can be requested. By providing a deliberately-malformed
argument in a request to hit-highlight a document, it is possible to escape
the virtual directory. This would allow any file residing on the server
itself, and on the same logical drive as the web root directory, to be
retrieved regardless of permissions. A new variant of this vulnerability was
announced on March 31, 2000. This variant could allow the source of
server-side files such as .ASP files to be read. The new variant affects
only Index Server 2.0, and Windows 2000 customers who applied the original
patch were never at risk from it.
*************************************
Affected Software Versions
Microsoft Index Server 2.0
Indexing Service in Windows 2000
*************************************
La cosa e' segnalata da gente come Charls Charrol (
www.activeserverpages.com
o 
www.learnasp.com
 ) nelle loro mailing list e la notizia si sta diffondendo
a catena. Io ho sentito dire che coinvolge anche NT 4.0 con Index Server 2.0


Ciao, io ho provato e mi dà "The system cannot find the file specified."
Ho istallato NT4, SP4 ed utilizzo anche Index Server 2.0
Ciao
Marco

Provato, "file not found".

 a catena. Io ho sentito dire che coinvolge anche NT 4.0 con Index Server
2.0
Viste le risposte e le esperienze di noi tutti (almeno di quelli che fino ad
ora si sono appesi al thread) sembrerebbe proprio che l'Index Server 2.0
sotto Win NT non ne sia afflitto.
Appena ho un attimo mi leggo meglio la documentazione, ma se ricevete un
'file not found', come me, vuol dire che non avete problemi (almeno cosi' mi
pare di aver capito).


 a catena. Io ho sentito dire che coinvolge anche NT 4.0 con Index Server
2.0
guarda 
http://www.aspitalia.com/servizi/notizie/win2000.asp
 č una delle
prime notizie quando win2k era ancora in beta.
ASPItalia, tutto, prima di tutti ;-PP
--
CIAO!.db
Daniele "The Night Surfer" Bochicchio <webmaster(at)ASPItalia.com>
Moderatore di it.comp.www.asp - 
http://www.ASPItalia.com/newsgroup/icwa.asp
Leggi subito i nostri ultimi articoli:
- 'Costruire un Form con ASP e Flash 4'
http://www.ASPItalia.com/articoli/articoli.asp?data=20000320
- 'Sistemi di pagamento per l'e-commerce'
http://www.ASPItalia.com/articoli/articoli.asp?data=20000316
Uno script al giorno? Solo su 
http://www.aspitalia.com/liste/usag/

ma che cosč??
MaxTemplar[DT]

 Le fonti sono di quelle attendibili. Meglio prendere sul serio la
Ho provato ed effettivamente faceva vedere il sorgente della ASP.
Installando la patch e` andato a posto.
Grazie.
--
Saluti.  | E-mail address: f.tarizzo (at) 
to.camcom.it
Fabrizio.| DH/DSS PGP Key-ID: 0x0584E074
         | FP:3D5E 8695 887E C89C E4D0 5384 EDA6 52EA 0584 E074
Sent via Deja.com 
http://www.deja.com/
Before you buy.

          | FP:3D5E 8695 887E C89C E4D0 5384 EDA6 52EA 0584 E074
Ci posteresti la tua config?
Grazie, Fabio Zed Zamparelli

Ciao,
Prima di tutto.... CA**!!!
Hai ragione funziona e mi visulizza tutto il codice asp.
Devo ancora provare il Fix della Microsoft e spero che risolva tutto,
altrimenti povero me.
Ti ringrazio moltissimo per l'informazione vitale!!
Saluti e ancora grazie Marco.
--
Posted from 
community2.interfree.it
 [195.110.99.130] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG