Frenzy bezorgde ons een linkje naar New Order, waar men een nieuwe bug in Microsoft IIS heeft ontdekt. Internet Information Server blijkt niet overweg te kunnen met lange URL strings met extensie .ida. De foutmeldingen die hier als gevolg van onstaan kunnen in sommige gevallen een Denial of Service Attack veroorzaken:
Microsoft IIS 5.0 has problems handling a specific form of URL ending with "ida". The problem can have 2 kinds of results.One possible outcome is that the server responds with a message like "URL String too long"; "Cannot find the specified path" or the like.
The other possible result is that the server terminates with an "Access Violation" message (effectively causing a Denial of Service attack against the server). Vulnerable are all IIS versions (up to and including IIS 5.0). When a remote attacker issues a URL request with the malformed URL: http://www.example.com/...[25kb of '.']...ida The server will either crash (causing an effective DoS attack) or report its current directory location (revealing the directory structure).
