Microsoft hat die vergangene Woche gemeldete Sicherheitslücke in ASP.NET bestätigt und auf seinen Seiten ein eigenes Advisory veröffentlicht. Mit der Lücke ist es möglich, durch die Angabe von Backslashes (\ oder %5c) und Leerzeichen (%20) in URLs die Zugriffsbeschränkung auf geschützte Verzeichnisse zu umgehen. Nach Angaben von Microsoft sind wahrscheinlich alle ASP.NET-Versionen von dem Fehler betroffen, unabhängig von der installierten IIS-Version und dessen Komponenten (ASP.NET auf Windows 2000, Professional und Server 2003).

<a href="http://www.heise.de/newsticker/meldung/51954" target="_blank">zum Bericht </a>

grz zer00