Sårbarheten ble offentliggjort i går av det østerrikske IT-sikkerhetsselskapet Phion Information Technologies. I advarselen Microsoft PPTP Server and Client remote vulnerability heter det at PPTP-tjenesten ("point to point tunneling protocol") i Windows 2000 og XP, som brukes av VPN-programvaren ("virtuelt privat nettverk") i disse systemene, på både server- og klientsiden, inneholder en usikret buffer som kan oversvømmes i forkant av en autentisering, og følgelig benyttes som en tunnel gjennom brannmuren.
Phion sier de har eksperimentert seg fram til et tjenestenektangrep og antyder at det også vil være mulig å føre eksekverbar kode gjennom sikerhetshullet. Selskapet har ikke, og vil ikke, publisere detaljer om hvordan dette kan tenkes gjort. De anbefaler at man stenger port 1723 som et midlertidig vern mot sårbarheten, i påvente av at Microsoft leverer en fiks.
Microsoft sier til amerikansk fagpresse at de ble informert om sårbarheten samtidig med at Phion offentliggjorde den på flere diskusjonstjenester om IT-sikkerhet. Etter å ha analysert den noen timer, bekrefter Microsoft at sårbarheten er reell, og at den kan brukes til tjenestenektangrep. Selskapet avviser at det skal være mulig å sende eksekverbar kode gjennom hullet.
Microsoft sier saken prioriteres høyt og at man vil komme tilbake med en fyldig redegjørelse så snart som mulig.
