Igår släpptes säkerhetsbulletinen MS09-31 för ISA 2006. Det är en sårbarhet som kan orsaka oautentiserad inloggning mot en publicerad web över Formulär och delegerad autentisering via RADIUS. Sårbarheten bygger även på att autentiseringen har HTTP-autentiserad fallback, vilket är default men går att stänga av.

 

 

Det gäller alltså inte om din ISA är domänmedlem och sköter reverse proxy autentiseringen via ditt Active Directory.
Som tur är drabbar det ingen av mina implementationer då jag rekommenderat domänmedlemskap av ISA Servern. En självklarhet för full funktionalitet, enkel administration och säkerhetsmässigt har ingen lyckas övertyga mig fördelen med delegering. En korrekt uppsatt ISA är säker!