Sin ánimo de tomar parte por ninguno de los actores, creo que, con la información que hay publicada hasta la fecha de hoy, el post de Stephen Toulouse que has enlazado le echa un buen jarro de agua fría a las palabras ¿precipitadas? de mi admirado Steve Gibson.

Tras leer integramente la entrevista en que Steve Gibson soltó "la bomba" y la respuesta de Stephen Toulouse, creo que Steve Gibson se ha precipitado en sus conclusiones y ha cometido algún error en su estrategia de análisis de la vulnerabilidad. Motivos:

1.- La explicación de Stephen Toulouse deja claro que uno de los elementos que pesaron bastante sobre la conclusión de Steve Gibson estaba provocado por un "enfoque parcial" del problema. Parece que Steve Gibson habría hecho pruebas en las que SIEMPRE el registro potencialmente problemático era el último del fichero. En esas circunstancias, se producía lo que él llama el "magic number", es decir, sólo poniendo un valor "1" en la longitud del registro se podía explotar la vulnerabilidad. PERO al parecer, si hay otros registros más hacia el final del fichero, no es necesario que se produzca esa circunstancia tan especial y que tanto "mosquea".

2.- El mismo Steve Gibson reconoce que le costó mucho conseguir explotar la vulnerabilidad (posiblemente por lo comentado en el punto 1 anterior). Pero en ningún caso se decantó por analizar el código ya disponible en la red que explotaba con éxito la vulnerabilidad (a pesar de que conocía su existencia). Y ese es el error que cometió en mi opinión. Parecía un paso evidente a dar, puesto que él no conseguía explotar la vulnerabilidad por sí mismo. Además, de rebote, probablemente le hubiese hecho enfocar el problema desde una perspectiva más amplia que la que le llevó a concluir la existencia de un "magic number" como única forma de explotar la vulnerabilidad.

En todo caso, como decía al principio, eso es lo que pienso "con la información que hay publicada hasta la fecha de hoy". Estoy a la espera de que Steve Gibson publique sus conclusiones definitivas.