Esta actualização vai corrigir uma nova variante da vulnerabilidade de segurança presente no Internet Information Service (IIS) 5.0 com .htr activado, que permite a leitura de partes de ficheiros, e está descrita no boletim de segurança da Microsoft MS01-004. Se utiliza a funcionalidade .htr, faça já a transferência desta actualização para impedir que um utilizador mal intencionado possa ler partes de determinados ficheiros no seu servidor Web.
Esta vulnerabilidade ocorre porque a extensão ISAPI (Internet Services Application Programming Interface) que processa os ficheiros .htr pode ser incorrectamente utilizada ao processar ficheiros não-.htr existentes no servidor, tais como Active Server Pages (páginas ASP). Se um utilizador mal intencionado pede um ficheiro ao servidor utilizando um determinado tipo de URL pernicioso, pode fazer com que o IIS utilize a extensão ISAPI para processar o ficheiro, mesmo que este não seja um .htr. O filtro ISAPI tenta interpretar o ficheiro pedido como se fosse um .htr e, embora remova praticamento tudo do ficheiro excepto o texto, este pode ser enviado para o utilizador mal intencionado.
O método recomendado para eliminar esta vulnerabilidade consiste em desactivar a funcionalidade .htr no IIS. Se não puder abdicar desta funcionalidade, deve transferir esta actualização, mesmo que já tenha instalado actualizações anteriores que protegem o seu sistema contra as variantes descritas nos boletins de segurança MS00-031 e MS00-044 da Microsoft. (Estes sites encontram-se em inglês.)
Para os utilizadores que não necessitam da funcionalidade .htr é preferível optarem pela sua desactivação em vez da instalação desta actualização. (As instruções para a desactivação de .htr encontram-se na secção de perguntas mais frequentes (FAQ) do boletim de segurança MS01-004).
Nota: Esta actualização foi revista a 2 de Fevereiro de 2002. A Microsoft recomenda a instalação desta versão da actualização.
Para mais informações sobre esta vulnerabilidade, consulte o boletim de segurança da Microsoft MS01-004. (Este site encontra-se em inglês.)