Paweł Goleń, blog

Jakiś czas temu pojawiła się informacja o podatności w implementacji protokołu WebDAV w IIS. Microsoft wydał stosowne Security Advisory: Vulnerability in Internet Information Services Could Allow Elevation of Privilege. Pojawił się również stosowny exploit (zresztą nie jest zbyt wyrafinowany): http://milw0rm.com/exploits/8704, pojawiły się również nieco złośliwe komentarze: Smells like teen spirit. Fakt, błąd z gatunku głupich, ale proponuję rzucić okiem na listę podatności wykrytych w IIS 6.0 i porównać to z czasami IIS 5.0. Jak dla mnie duża zmiana, na plus oczywiście. Swoją drogą jestem ciekawy jak ten błąd przeszedł niezauważony, korzystanie z fuzzerów jest wymogiem SDL. Mogło po prostu nie być takiego przypadku testowego, zdarza się, to nie koniec świata. Trzeba tylko wyciągnąć z tego naukę na przyszłość, lepiej uczyć się na cudzych błędach, ale na swoich też trzeba.