IIS 5.0 / 5.1 / 6.0 で WebDAV を利用する場合、WebDAV で管理されているファイルにアクセスするには、通常は認証 (ユーザ名、パスワード) が必要です。しかし IIS には欠陥があり、認証画面を回避できてしまうことが明らかとなりました。IIS 5.0 / 5.1 / 6.0 で WebDAV が有効になっている場合、そのサーバ上のファイルは、実際には誰でもダウンロードしたりアップロードしたりできてしまうのです。

• マイクロソフト セキュリティ アドバイザリ (971492) インターネット インフォメーション サービスの脆弱性により、特権が昇格される (Microsoft)

以下の点に注意して下さい。

• IIS 5.0 / 5.1 では標準で WebDAV が動作しており、特に危険です。IIS 6.0 では、標準では WebDAV は動作していません。
• この欠陥は IIS 7.0 (Windows Server 2008) にはありません。
• 認証を回避してアクセスする場合、「匿名ユーザー アカウント」としてアクセスします。したがって、「匿名ユーザー アカウント」によるアクセスを拒否するような設定のなされたファイルやフォルダであれば、この欠陥を利用する者にはアクセスできません。

この欠陥の修正プログラムは現在開発中です。修正されるまでは、IIS 5.0 / 5.1 / 6.0 で WebDAV を利用する場合は、IP アドレスに基づくアクセス制限を施すなどの設定を行う事を強く推奨します。

関連キーワード: IIS, WebDAV

2009.06.10 追記

MS09-020 - 重要: インターネット インフォメーション サービス (IIS) の脆弱性により、特権が昇格される (970483) で修正されました。