W Święta informowaliśmy o znalezieniu potencjalnej luki w usługach IIS przez brytyjskiego specjalistę od bezpieczeństwa. Już wtedy pierwsze analizy wskazywały, że luka nie jest groźna. Jeszcze dalej po wnikliwej analizie poszli eksperci z Microsoft Security Response Center - stwierdził, że luki po prostu nie ma.
Przypomnijmy, że problem dotyczył sposobu, w jaki IIS przetwarza średnik w adresach URL. W pewnych przypadkach można było więc wykonać plik typu "malicious.asp;.jpg" jako aplikację ASP mimo braku stosownych uprawnień, bo serwer traktował wywołanie jak statyczną grafikę, ale wykonywał jak aplikację ASP. Microsoft tłumaczy, że problem występuje wyłącznie w usługach IIS 6 wbudowanych w Windows Server 2003. Do pomyślnego przeprowadzenia ataku na serwerze musi być jednak włączone prawo do zapisu oraz wykonywania. Nie jest to domyślna konfiguracja IIS 6 i jest raczej nieczęsto spotykana. Co więcej, nawet jeśli serwer w jednym katalogu pozwala zarówno na zapis, jak i wykonanie, to wówczas opisywaną podatność może wykorzystać jedynie osoba autoryzowana do wgrywania plików.
Reasumując, IIS obronił się przed określeniem "luka zabezpieczeń". Microsoft używa określenia "problem funkcjonalny". Nieco więcej informacji o sprawie można znaleźć też na blogu zespołu IIS.