A vulnerabilidade pode permitir que acessos anônimos (sem autenticação) o invasor pode contornar as permissões e ter acesso ao servidor. Ao enviar uma requisição HTTP especialmente criada para o servidor, o invasor é capaz de visualizar e fazer o upload de arquivos para a máquina. O ataque tira vantagem de um bug na forma como o IIS 6 processa tokens Unicode. O problema que esse exploit já se tornou público. Somente sistemas que têm WebDav ativado são afetados por essa vulnerabilidade.

Portando, é de extrema importância quem possui Webdav habilitado, e não utiliza, desative-o. Se não pode desativar, utiliza o URLSCan para ajudar a efetuar segurança no IIS. Se o site utiliza autenticação baseada em formulários, provavelmente você não terá problemas.

Você está seguro se:

• Servidor de IIS não possui o Webdav instalado.
• Servidor de IIS está com o Webdav desabilitado (no IIS 6 já vem desabilitado por padrão).
• Servidor de IIS não permitir acesso aos arquivos do sistema ao grupo IUSR_[NomedaMáquina].
• Servidor de IIS hospeda somente aplicações utilizando formulários com autenticação.

Atualmente não há correção para essa vulnerabilidade. Maiores informações:

http://www.microsoft.com/technet/security/advisory/971492.mspx