<HTML dir=ltr><HEAD>
<META http-equiv=Content-Type content="text/html; charset=unicode">
<META content="MSHTML 6.00.6000.16640" name=GENERATOR></HEAD>
<BODY>
<DIV><FONT face=Arial color=#000000 size=2>
<P class=MsoNormal style="MARGIN: 0in 0in 10pt; LINE-HEIGHT: normal"><FONT face=Calibri size=3>Internetizens,</FONT></P>
<P class=MsoNormal style="MARGIN: 0in 0in 10pt; LINE-HEIGHT: normal"><FONT face=Calibri size=3>Many URL authentication and authorization mechanisms make security decisions based on the HTTP verb in the request. Many of these mechanisms work in a counter-intuitive way. This fact, in combination with some oddities in the way that both web and application servers handle unexpected HTTP verbs causes the rules dictated by those mechanisms to be bypassable.</FONT></P>
<P class=MsoNormal style="MARGIN: 0in 0in 10pt; LINE-HEIGHT: normal"><FONT face=Calibri size=3>Many of us rely on the mechanisms I'm talking about. The Internet is not exactly going to burn down when this email goes out, but there is probably a fair number of externally facing web applications out there that are relying on the shaky security provided by these configurations.</FONT></P>
<P class=MsoNormal style="MARGIN: 0in 0in 10pt; LINE-HEIGHT: normal"><FONT face=Calibri size=3>We have written a whitepaper that goes into some detail discussing the vulnerability and how the various vendors are affected. You can grab the whitepaper from Aspect Security's website:</FONT></P>
<P class=MsoNormal style="MARGIN: 0in 0in 10pt; LINE-HEIGHT: normal"><FONT face=Calibri size=3>http://www.aspectsecurity.com/documents/Bypassing_VBAAC_with_HTTP_Verb_Tampering.pdf</FONT></P>
<P class=MsoNormal style="MARGIN: 0in 0in 10pt; LINE-HEIGHT: normal"><FONT face=Calibri size=3>Jeff Williams and Jim Manico also put together a demo that shows the attack in progress:</FONT></P>
<P class=MsoNormal style="MARGIN: 0in 0in 10pt; LINE-HEIGHT: normal"><FONT face=Calibri size=3>http://www.aspectsecurity.com/documents/Aspect_VBAAC_Bypass.swf</FONT></P>
<P class=MsoNormal style="MARGIN: 0in 0in 10pt; LINE-HEIGHT: normal"><FONT face=Calibri size=3>Cheers,</FONT></P>
<P class=MsoNormal style="MARGIN: 0in 0in 10pt; LINE-HEIGHT: normal"><FONT face=Calibri size=3>Arshan Dabirsiaghi</FONT></P>
<P class=MsoNormal style="MARGIN: 0in 0in 10pt; LINE-HEIGHT: normal"><FONT face=Calibri size=3>Director of Research</FONT></P>
<P class=MsoNormal style="MARGIN: 0in 0in 10pt; LINE-HEIGHT: normal"><FONT face=Calibri size=3>Aspect Security</FONT></P>
<P class=MsoNormal style="MARGIN: 0in 0in 10pt; LINE-HEIGHT: normal"><FONT face=Calibri size=3>http://www.aspectsecurity.com/</FONT></P></FONT></DIV></BODY><!--[object_id=#aspectsecurity.com#]--></HTML>