Microsoft warnt vor Angriffen auf IIS-Lücke

Microsoft weist darauf hin, dass die in der letzten Woche gemeldete Schwachstelle im FTP-Dienst der Internet Information Services (IIS) inzwischen aktiv ausgenutzt wird. Die Angriffe sind laut Microsoft begrenzt und richten sich gegen Unternehmen, die IIS 5.0, 5.1 und 6.0 einsetzen.

Einer aktualisierten Sicherheitswarnung zufolge gibt es zudem einen neuen Proof-of-Concept für einen Denial-of-Service-Angriff, für den kein Schreibzugriff benötigt wird. „Er betrifft die Version von FTP 6, die mit Windows Vista und Windows Server 2008 ausgeliefert wurde“, schreibt Alan Wallace vom Microsoft Security Response Center in einem Blogeintrag. Bisher beschränkte sich das Security Advisory auf Windows 2000, Windows XP und Windows Server 2003.

Nutzern von Windows Vista und Windows Server 2008 rät Microsoft, FTP 7.5 aus dem Download-Center herunterzuladen. Die neuere Version sei nicht anfällig für die gemeldeten Exploits. Alle anderen Anwender verweist Microsoft auf die schon in der ursprünglichen Sicherheitsmeldung genannten Workarounds, die allerdings keinen vollständigen Schutz vor den Folgen eines DoS-Angriffs böten.

Schon Ende letzter Woche hatte Microsoft ein Update für die kritische Sicherheitslücke angekündigt, die das Einschleusen und Ausführen von beliebigem Schadcode ermöglicht. Ob ein Fix schon an Microsofts nächstem Patchday am 8. September bereitstehen wird, teilte das Unternehmen nicht mit.