CRB では BAR との契約が有効と決まったみたいですが、どうなるかはまだまだ分からないような気がします。

Microsoft IIS WebDAV XML Denial of Service Exploit (MS04-030)(K-OTik) Microsoft Windows Metafile (.emf) Heap Overflow Exploit (MS04-032)(K-OTik) [EXPL] (MS04-032) Microsoft Windows XP Metafile (.emf) Heap Overflow (PoC)(Bugtraq)