Dopo il rilascio del codice, Microsoft su Patch IIS Bug

Un giorno, dopo che un ricercatore della sicurezza ha pubblicato un codice di attacco per un difetto nel software server Microsoft, Microsoft ha dichiarato che intende risolvere il problema.

Microsoft ha anche rilasciato un advisory sulla sicurezza che descrive il problema e descrizione dei workarounds tecnici che gli amministratori di sistema possono implementare mentre sono in attesa di una patch. "Stiamo attualmente esaminando il problema … e stiamo lavorando per sviluppare un aggiornamento per la sicurezza", ha affermato Microsoft in una nota sul suo sito Web. "Questo aggiornamento verrà rilasciato una volta raggiunto un livello di qualità appropriato per un'ampia distribuzione."

Il prossimo set di patch di sicurezza di Microsoft è previsto per l'8 settembre. Non è chiaro se la società sarà in grado di sviluppare e testare il proprio IIS (

[Ulteriori informazioni: Come rimuovere il malware dal PC Windows]

Il codice di attacco è stato pubblicato lunedì da Nikolaos Rangos, il quale ha affermato di non aver notificato il software società del problema in anticipo. L'attacco di Rangos è considerato molto affidabile sui sistemi IIS 5 e potrebbe essere utilizzato per eseguire software non autorizzato sul server.

Il difetto risiede nel software FTP (File Transfer Protocol) utilizzato da IIS ed è considerato un fattore critico problema per gli utenti del vecchio prodotto IIS 5. Anche gli utenti di IIS 6 sono interessati, ma sono a rischio ridotto a causa del modo in cui IIS 6 è stato compilato, ha dichiarato Microsoft nel suo advisory. "Questo non elimina la vulnerabilità ma rende più difficile lo sfruttamento della vulnerabilità."

Gli utenti che utilizzano IIS 7 più recente o che non eseguono il servizio FTP non sono interessati, Microsoft ha detto.

Even per gli utenti di IIS 5 e 6 esiste un altro fattore attenuante: "I sistemi interessati non sono vulnerabili a meno che agli utenti FTP non autorizzati venga concesso l'accesso in scrittura." Per impostazione predefinita, agli utenti FTP non viene concesso l'accesso in scrittura ", ha affermato Microsoft. Gli attacchi del mondo reale usando il codice di Rangos, fornitore di sicurezza Symantec ha affermato che "molti sistemi saranno vulnerabili su Internet e che si verificheranno attacchi in-the-wild".

Un'altra società di sicurezza, Secunia, valuta il difetto "moderatamente critico. "

Lo scorso maggio, Netcraft, società di analisi dei dati Web, contava ancora 2,8 milioni di siti che utilizzavano il software IIS 5, ma non è chiaro quanti di questi avrebbero il set-up FTP che li renderebbe vulnerabili a questo attacco.