A Microsoft se le acumulan cada vez mas fallos en sus productos y esta vez el fallo es una nueva vulnerabilidad altamente crítica en el servidor más popular de Microsoft Internet Información Services (IIS), producto que miles de administradores de servidores usan en sus maquinas de servidor web, para mantener en servicio sus páginas y sitios web. Este grave fallo podría permitir a los Hacker eludir las medidas de seguridad existentes y subir código malicioso a cualquier máquina afectada con ese fallo. La alarma ha sido difunda por el investigador de seguridad Soroush Dalili, que advirtió en una nota de investigación que la vulnerabilidad afecta a IIS 6 y versiones anteriores, IIS 7, aunque todavía no se ha podido probar que afecte a la versión 7.5. "El servidor web IIS de Microsoft puede ejecutar cualquier extensión, como una página Active Server o cualquier extensión ejecutable. Por ejemplo, "malicious.asp;. Jpg" se ejecuta como un archivo ASP en el servidor ", explicó.
"Muchos administradores suben archivos que protegen y controlan el sistema. Los administradores concretamente protegen y controlan el archivo de la última sección por el nombre de archivo y su extensión. Y es precisamente por medio de esta vulnerabilidad, que un atacante puede saltarse esta protección y cargar un archivo ejecutable con peligroso contenido y a través de ese código malicioso asaltar el servidor."
Según la empresa Secunia y la clasificación de su Base de datos, esta vulnerabilidad ha sido calificada como fallo "menos crítico" – sólo en el segundo ranking de cinco posibles niveles de calificación de seguridad –en un sistema - pero Dalili afirma que el impacto del fallo del ISS es mucho más crítico de los que parece a simple vista.
"El impacto de esta vulnerabilidad es absolutamente de alto riesgo y su peligrosidad permite a un atacante que pueda saltarse las protecciones de archivos de extensión, simplemente añadiendo una simple y ridícula coma después de una extensión ejecutable, como". Asp ",". Cer ",". Asa ", y así sucesivamente", escribió.
"Lamentablemente muchas aplicaciones web son vulnerables frente a ataques debido a la posibilidad de cargar archivos en servidores IIS que actualmente tienen esta vulnerabilidad de seguridad."
Según los últimos informes de los investigadores de Microsoft, la empresa ya esta está investigando la vulnerabilidad.
Esta no es la primera vez que IIS se ha visto afectado por problemas de seguridad. Ya el pasado septiembre Microsoft publicó una advertencia de seguridad que confirmaba una vulnerabilidad en el File Transfer Protocol (FTP) en IIS 5.0, 5.1 y 6.0 que podría permitir la ejecución de código remoto.
