Windows 2000 Server edition contiene un servizio SMTP che si installa automaticamente e fornisce in questo modo pieno supporto alle attività di fornitura del servizio di posta elettronica in modo corretto e semplice gestendo le procedure di autenticazione utente. Lo stesso servizio è inoltre installabile su Windows 2000 Professional Edition, ma non sembra funzionare altrettanto egregiamente. In questi giorni infatti Microsoft rende noto che un baco nel processo di autenticazione consente di accedere al servizio SMTP anche con credenziali non valide.

L'attacker in particolare potrà accedere come utente e non sarà quindi in grado di gestire e amministrare il server di posta, ma potrà sfruttare liberamente il servizio senza essere autorizzato e conseguentemente identificato. In questo modo un eventuale pirata potrebbe accedere illegalemente, senza nemmeno bisogno di sottrarre i dati di connessione di utenti regolari, ed una volta nel sistema approfittarne per inviare messaggi di posta elettronica non autorizzati, spamming, o addirittura operare un mail bombing ai danni di chiunque volesse.

Microsoft rende noto inoltre che il baco è presente sicuramente sui sistemi Windows 2000 Professional e Windows NT 4.0, mentre non è possibile dire nulla di definitivo per le versioni precedenti che potrebbero quindi essere soggette allo stesso rischio o meno. Al seguente indirizzo è comunque possibile scaricare l'apposita patch che consente di risolvere il problema e ripristinare i livelli di sicurezza necessari al corretto funzionamento del servizio.Diversamente l'alternativa più sicura è disabilitare il servizio SMTP.