CVE-1999-1537
ŚredniePrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
IIS 3.x i 4.x nie rozróżnia stron wymagających szyfrowania od tych, które go nie wymagają, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (wyczerpanie zasobów) poprzez żądania SSL do portu HTTPS dla normalnie nieszyfrowanych plików.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przeciążenia serwera, co prowadzi do jego niedostępności dla użytkowników.
Rekomendacja
Zaleca się aktualizację do nowszej wersji IIS, która poprawia zarządzanie żądaniami SSL oraz wprowadzenie ograniczeń na port HTTPS.
Oryginalny opis (angielski, źródło NVD)
IIS 3.x and 4.x does not distinguish between pages requiring encryption and those that do not, which allows remote attackers to cause a denial of service (resource exhaustion) via SSL requests to the HTTPS port for normally unencrypted files, which will cause IIS to perform extra work to send the files over SSL.