„Extrém kritikus” hiba az Internet Explorer miatt

A dán, IT-biztonsággal foglalkozó Secunia a minap jelentette be, hogy egy olyan új sebezhetőségre bukkantak a Windows-okban, mely kiemelt figyelmet igényel. Ötfokozatú skáláján extrém kritikusnak (ami a legmagasabb) sorolta be a szervezet a biztonsági rést – ami különösen azért jelent aggasztó fejleményt, mert a sérülékenységre még nincs letölthető javítás. A Microsoft minden hónap második keddjén, azaz pontosan egy hét múlva adja ki patch-eit, az azonban kérdés, hogy ennek a kiiktatása benne lesz-e a csomagban.

Mindazonáltal ősszel már volt példa arra, hogy kivételt tett az észak-amerikai szoftverfejlesztő vállalat. Amint arról mi is hírt adtunk másfél hónapja, akkor szintén az Internet Explorerről derült ki egy komoly hiba, melyet másfél héttel korábban iktatott ki a szoftverből a Microsoft, mint ahogy az egyébként ütemezve lett volna. De térjünk vissza a mostani esetre!

A sebezhetőség az XML Core Services-t érinti, egészen pontosan az ActiveX vezérlők közül az XMLHTTP 4.0-t. Minden olyan rendszer ki van téve a sérülékenységnek, melyen az Internet Explorert futtatják. A beszámolók szerint adatszivárgásra, bizalmas információk kijuttatására lehet felhasználni a biztonsági rést; ehhez azonban rá kell venni a felhasználót, hogy megnézzen egy ártó szándékkal létrehozott weblapot.

A Microsoft elismerte a hiba létét, sőt, azt is, hogy már kiaknázásáról is tájékoztatták őket. Ez azt jelenti, hogy védtelen rendszerek estek már áldozatul egy, a fenti hibára alapuló támadásnak (igaz, egyelőre korlátozott mennyiségben). Elsősorban a Windows 2000, Windows XP SP2 és Windows Server 2003 operációs rendszert használók érintettek; ez utóbbi SP1-es kiadásával rendelkező internetezők (alapbeállítások, azaz az Enhanced Security Configuration bekapcsoltsága esetén) nyugodtak lehetnek: a hiba ellenük nem játszható ki.

A hetes Internet Explorer megjelenése óta ez már a harmadik biztonsági rés, amit a redmondi böngészőben felfedeztek. Két korábbi, erről szóló cikkünk itt és itt olvasható.