CVE-2009-4445

Microsoft Internet Information Services (IIS), cuando es utilizado junto con aplicaciones de subida de archivos de terceras partes sin especificar, permite a atacantes remotos crear ficheros vacíos con extensiones de su elección a través de un nombre de fichero que contiene una extensión inicial seguida por : (dos puntos) y una extensión segura; como se ha demostrado con la subida de un fichero .asp:.jpg que resulta en la creacción de un fichero vacío .asp. Relacionado con el soporte de la sintaxis de nombres de ficheros de NTFS Alternate Data Streams (ADS). NOTA: se podría decir que es una vulnerabilidad del producto de terceras partes, no de IIS, porque el producto de terceras partes debería imponer restricciones a las extensiones en la porción de nombre de fichero anterior a los dos puntos.