Specjliści bezpieczeństwa odkryli nową lukę bezpieczeństwa w komponencie Information Services 6.0 (IIS), wchodzącym w skład systemu operacyjnego Windows Server 2003 R2. Jeśli wierzyć źródłom, podatność dotyczy ponad 60 tysięcy serwerów działających pod dyktando tego systemu i jest aktywnie wykorzystywana przez hakerów.
Istnienia podatności dowodzi jej odkrywca, Edward Z, który w repozytorium GitHub opublikował swoisty proof-of-concept podatności, posługując się językiem Python. Według informacji atakujący może utworzyć zapytanie PROPFIND z długim nagłówkiem, co prowadzi do przepełnienia bufora w komponencie WebDAV w IIS 6.0. Historia exploitowania podatności sięga sierpnia 2016 roku, jednak nie każda instancja archaicznej już wersji Windows Server 2003 R2 jest na to narażona. Trend Micro zaleca na przykład, by administratorzy wyłączyli komponent WebDAV w IIS Configuration Manager, co jednocześnie nie pozwala wykorzystać podatności.
W odróżnieniu od ostatnich podatności odnalezionych w Windows 10 czy w przeglądarce Edge, podatność w Windows Server 2003 R2 nigdy nie doczeka się już łatki. Wydany w 2005 r. system zakończył bowiem swój cykl życia w 2010 r., a wraz z nim wygasło rozszerzone wsparcie ze strony Microsoft. Od tego czasu producent nie udostępnia już aktualizacji bezpieczeństwa i proponuje użytkownikom przejście na nowszą wersję systemu - w tym momencie jest to Windows Server 2016.
Choć ze strony Microsoft nie można liczyć na oficjalną odpowiedź, rozwiązanie nadeszło z zewnątrz. Specjalną "mikrołatkę" zaoferowało 0patch - administratorzy mogą ją pobrać tutaj. Łatka jest darmowa, a jej kod źródłowy pozostaje otwarty. By ją zainstalować, administrator musi najpierw pobrać i uruchomić Agenta 0patch.
