Lek in webprogramma Frontpage

Het probleem spitst zich toe op de zogeheten SmartHTML Interpreter (shtml.dll) van de Frontpage Server Extensions (FPSE). Dit onderdeel van het pakket biedt ondersteuning voor webformulieren en andere dynamische content. Door een onvolkomenheid in de software kan het opvragen van een bepaald type webbestand de beveiliging van de webserver in gevaar brengen. De fout pakt verschillend uit bij twee versies van de Server Extensions. In de 2000-versie kan een aanvaller ervoor zorgen dat de SmartHTML-vertolker vrijwel alle processorcapaciteit van de server opslokt. Hij kan deze situatie misbruiken voor een ‘denial of service’-aanval. Bij de 2002-versie van de Server Extensions kan hetzelfde type informatieaanvraag leiden tot het overstromen van de buffer, waarna de aanvaller naar believen zijn eigen programmacode op de webserver zou kunnen draaien. Microsoft heeft een stoplap (patch) uitgebracht die het beveiligingslek moet dichten. Informatie daarover is te vinden in Security Bulletin 53 op de website van het softwarebedrijf. (gke)