Sicherheitsloch in Microsofts Internet Information Services
In Microsofts Internet Information Services (IIS) Version 6.x sowie älteren IIS-Systemen wurde ein Sicherheitsloch gefunden. Entdeckt wurde der Fehler von Soroush Dalili(öffnet im neuen Fenster) nach eigenen Angaben bereits im April 2008. Warum er den Fehler ausgerechnet über die Weihnachtsfeiertage 2009 öffentlich machte, ist nicht bekannt. Über das Sicherheitsloch können Unbefugte Schadcode auf einem Windows-Server ausführen. Das Einschleusen etwa von ASP-Code ist möglich, indem an eine ASP-Datei eine mit einem Semikolon versehene Dateiendung angehängt wird.
Der Dateiname sähe also so aus: file.asp;.jpg. Damit lassen sich Server durcheinander bringen, die lediglich die Dateiendung berücksichtigen, um festzustellen, ob ein Code ausgeführt werden darf. Dalili stuft das Sicherheitsloch als gefährlich ein. Die Sicherheitsexperten von Secunia(öffnet im neuen Fenster) sehen allerdings nur eine geringe Gefährlichkeit.
Microsoft weist in einer Stellungnahme(öffnet im neuen Fenster) darauf hin, dass IIS nur dann für einen solchen Angriff anfällig ist, wenn das System anders konfiguriert und bewusst unsicher eingestellt wurde. Nach Ansicht von Microsoft muss ein Angreifer Zugriff auf das System, sowie Schreibzugriff auf die Web-Server-Verzeichnisse haben. Microsoft machte noch keine Angaben, wann mit einem Patch zu rechnen ist.