Pagkatapos ng Code Inilabas, Microsoft sa Patch IIS Bug

Isang araw pagkatapos ng isang security researcher na inilathala ang code sa pag-atake para sa isang kapintasan sa software ng server ng IIS ng Microsoft, sinabi ng Microsoft na plano itong i-patch ang isyu.

Naglabas din ang Microsoft ng isang advisory sa seguridad na naglalarawan sa problema at pagdedetalye ng mga teknikal na workaround na maaaring ipatupad ng mga administrator ng system habang naghihintay sila para sa isang patch. "Kasalukuyan kaming sinisiyasat ang isyu … at nagtatrabaho upang bumuo ng isang update sa seguridad," sinabi ng Microsoft sa isang tala sa Web site nito. "Ang update na ito ay ilalabas sa sandaling maabot nito ang isang angkop na antas ng kalidad para sa malawak na pamamahagi."

Ang susunod na hanay ng mga patong sa seguridad ng Microsoft ay dahil Setyembre 8. Hindi malinaw kung ang kumpanya ay maaaring bumuo at sumubok ng IIS (

Ang pag-atake ng code ay inilathala noong Lunes ni Nikolaos Rangos, na nagsabing hindi niya ipinaalam ang software kumpanya ng isyu maagang ng panahon. Ang pag-atake ni Rangos ay itinuturing na maaasahan sa mga sistema ng IIS 5 at maaaring magamit upang magpatakbo ng di-awtorisadong software sa server.

Ang kapintasan ay nakasalalay sa software ng FTP (File Transfer Protocol) na ginagamit ng IIS, at itinuturing na isang kritikal isyu para sa mga gumagamit ng mas lumang produkto ng IIS 5. Ang mga gumagamit ng IIS 6 ay apektado din, ngunit sila ay nasa pinababang panganib dahil sa paraan ng IIS 6 ay naipon, sinabi ng Microsoft sa advisory nito. "Hindi ito nag-aalis ng kahinaan ngunit mas pinigilan ang pagsasamantala sa kahinaan."

Ang mga gumagamit na gumagamit ng higit na kamakailang IIS 7 o hindi tumatakbo sa serbisyo ng FTP ay hindi naapektuhan, sinabi ng Microsoft. para sa IIS 5 at 6 na mga gumagamit, may isa pang mitigating na kadahilanan: "Ang mga apektadong sistema ay hindi maaaring masugatan maliban kung ang mga hindi pinagkakatiwalaan na mga gumagamit ng FTP ay ipinagkaloob sa write access.Sa pamamagitan ng default, ang mga FTP user ay hindi ipinagkaloob sa write access," sinabi ng Microsoft.

ang pag-atake sa real-mundo gamit ang code ng Rangos, seguridad vendor Symantec sinabi Martes na "maraming mga sistema ay maaaring masugatan sa internet at na sa-ligaw na pag-atake ay magaganap."

Isa pang seguridad kumpanya, Secunia, rate ang lamat "moderately kritikal. "

Noong Mayo, ang web analytics firm Netcraft ay binibilang ang 2.8 milyong mga site na gumagamit pa rin ng software ng IIS 5, ngunit hindi malinaw kung gaano karaming ng mga ito ang magkakaroon ng FTP set-up na gagawing mahina laban sa atake na ito.