Les exploits se succèdent et ne se ressemblent pas tout à fait : la faille IIS 5 et 6 révélée au tout début de la semaine dernière était, disait-on, exploitable à partir du moment où un usager authentifié (anonymous en fait partie) possédait un droit de création de répertoire. Mais voilà que vendredi, le niveau d’alerte augmente. Nikolaos Rangos, sur Milworm, nous apprend qu’il est possible de conduire une attaque en déni de service contre un serveur IIS même sans posséder le moindre droit d’écriture. Aussitôt, Microsoft met à jour son bulletin d’alerte et incite ses clients, via le blog du MSRC, à télécharger l’édition 7.5 du ftp qui, elle, ne souffre pas de cette déficience. Cette agitation microsoftienne serait dû à « quelques attaques limitées » explique le blog.
La situation est donc ni grave, ni désespérée. A moins d’un changement de dernière minute, cette fameuse « faille mkdir » ne devrait pas faire partie du lot de rustines du prochain patch Tuesday. De nombreux article laissent entendre que cette attaque provoque un crash de serveur. Il s’agit plus exactement d’un plantage du service ftp, qui peut être relancé manuellement et qui ne met pas en cause (du moins pour l’instant) l’intégrité des autres services serveur de Windows .
