Microsofts Internet Security and Acceleration (ISA) Server 2000 software blijkt gevoelig voor eenvoudige aanvallen.
Onderzoekers van FSC Internet en SecureXpert Labs ontdekten dat de Web Proxy Service crasht wanneer een verzoek wordt ingediend om een website te bekijken waar een ongewoon lange domeinnaam aan vastzit (bijvoorbeeld een paar duizend keer een willekeurige letter). Het gevolg hiervan is dat simpeledenial of service (DoS) aanvallen ervoor kunnen zorgen dat websites onbereikbaar worden. Hiervoor moet wel deweb publishing software, waarmee gebruikers van buitenaf een site op een intern netwerk kunnen bezoeken zonder het adres bekend te maken, geactiveerd zijn. Wanneer de aanval van binnen het netwerk komt, is dit niet noodzakelijk. Om de functionaliteit van een getroffen server te herstellen moet de software herstart worden.
Hoewel debug het niet mogelijk maakt om het beheer van een server over te nemen, is het toch een blamage voor Microsoft. Tijdens de lancering van ISA, in februari van dit jaar, gaf het bedrijf uit Redmond nog hoog op over defirewall en Web cache product. Nu moet het met het schaamrood op de kaken toegeven dat er een beveiligingsfout zit in software die er juist op is gericht om ongewenste indringers buiten de deur te houden.
Microsoft heeft inmiddels eenpatch uitgebracht om het lek te dichten. Deze is te vinden ophttp://www.microsoft.com/technet/security/bulletin/MS01-021.asp en maakt deel uit van het eerste ISA Serverservice pack.
