Microsoft conferma la falla presente nei webserver IIS (versioni 5 e 6), che permette un attacco DoS via FTP anche ad utenti anonimi con permessi di lettura e addirittura permette di prendere il completo controllo del server se si hanno permessi di scrittura.

Tuttavia sembra che la falla, almeno per IIS 5, sia circoscritta a Windows 2000 SP4, il cui supporto è terminato da un bel pezzo. In altri casi la vulnerabilità su IIS 6 porterebbe soltanto al crash.

In rete è già comparso un exploit e ci sono stati i primi casi, che certo sono anche dovuti all’imprudenza di chi fornisce permessi di scrittura a utenti anonimi, ma anche ad una vulnerabilità pericolosa che non ci dovrebbe essere e che doveva essere corretta subito come disse Microsoft qualche giorno fa. L’unica soluzione, almeno per ora, è quella di disattivare il server FTP quando non serve.

La vulnerabilità è ancora lì e gli sciacalli pronti a sfruttarla sono tanti, la patch non è ancora arrivata. È un gioco divertente: chissà se si sbrigherà prima Microsoft a tappare il buco o qualche cracker a sfruttarla per un attacco di dimensioni spaventose. Secondo voi chi vincerà? Sono aperte le scommesse.