Es posible que Microsoft no pueda corregir una vulnerabilidad de día cero en una versión anterior de su servidor web de Internet Information Services que los atacantes atacaron en julio y agosto del año pasado. El exploit permite a los atacantes ejecutar código malicioso en servidores Windows que ejecutan IIS 6.0 mientras que los privilegios de los usuarios ejecutan la aplicación. Un exploit de prueba de concepto para la vulnerabilidad en IIS 6.0 ahora está disponible para ver en GitHub y aunque IIS 6.0 ya no es compatible, sigue siendo ampliamente utilizado incluso hoy en día. El soporte para esta versión de IIS se detuvo en julio del año pasado junto con el soporte para Windows Server 2003, su producto principal.

Las noticias generan preocupación entre los profesionales de seguridad, ya que las encuestas de servidores web indican que IIS 6.0 todavía está siendo utilizado por millones de sitios web públicos. Además, es posible que una gran cantidad de compañías aún puedan estar ejecutando aplicaciones web en Windows Server 2003 e IIS 6.0 dentro de su organización. Los atacantes podrían, por lo tanto, usar la falla para realizar movimientos laterales si obtienen acceso a las redes corporativas.

Antes de su publicación en GitHub, solo unos pocos atacantes conocían la vulnerabilidad, hasta hace poco. Ahora, hay evidencia de que muchos atacantes ahora tienen acceso a la falla no parcheada. El proveedor de seguridad Trend Micro ofrece la siguiente explicación para la vulnerabilidad:

Un atacante remoto podría aprovechar esta vulnerabilidad en el componente IIS WebDAV con una solicitud diseñada utilizando el método PROPFIND. La explotación exitosa podría resultar en la condición de denegación de servicio o ejecución de código arbitrario en el contexto del usuario que ejecuta la aplicación. Según los investigadores que encontraron esta falla, esta vulnerabilidad fue explotada en la naturaleza en julio o agosto de 2016. Fue revelada al público el 27 de marzo. Otros actores de amenazas se encuentran ahora en las etapas de creación de código malicioso basado en la prueba original. Código de concepto (PoC).

Trend Micro señaló que la creación y el control de versiones distribuidos web (WebDAV) es una extensión del protocolo estándar de transferencia de hipertexto que permite a los usuarios crear, cambiar y mover documentos en un servidor. La extensión proporciona soporte para varios métodos de solicitud, como PROPFIND. La compañía recomienda deshabilitar el servicio WebDAV en las instalaciones de IIS 6.0 para ayudar a mitigar el problema.