Biztonsági rés: patch nincs, de már támadnak

Alig pár órával később, hogy megjelent az Interneten a Microsoft legújabb, február havi patch-csomagja (melyről bővebben itt lehet olvasni), a szoftverfejlesztő vállalat kénytelen volt közzétenni, hogy egy új sebezhetőségre bukkantak az Office programcsomag részeként terjesztett Word szövegszerkesztő kliensben. A nulladik napi hibának nemcsak leírása terjed, hanem limitált mértékben már ki is használják a pénzszerzésre utazó online bűnözők.

Hogyan fejti ki hatását a sérülékenység? Amikor a felhasználó megnyit egy ártó szándékkal létrehozott Word állományt, az olyan memóriaterületet írhat felül, ami végső soron lehetővé teszi, hogy a támadó átvegye a PC felett a teljes ellenőrzést. A Microsoft közép-európai idő szerint csütörtökön kiadott figyelmeztetése szerint az Office 2000 és XP változatokat használók vannak kitéve a veszélynek, a 2003 és 2007 verziókat futtató internetezőket nem érinti az eset.

Habár a limitált támadások nincsenek befolyással a felhasználók széles rétegeire, ezeket tartják a leginkább veszélyesnek az IT-biztonsággal foglalkozó szakértők. Ezek ugyanis kifejezetten egy cég, szervezet, személy ellen irányulnak, akiket szinte minden alkalommal teljesen váratlanul ér a támadás – csak saját rutinjukra támaszkodva kerülhetik el a veszélyes csatolmányok megnyitását. A javítatlan hibák minél további kihasználását pedig úgy próbálják meg elérni a támadók, hogy a Microsoft által minden hónap második keddjén kiadott patch-eket (Patch Tuesday) követően kezdenek akcióba, és használják ki az általuk már ismert sebezhetőségeket. Néhány szakértő ezért ezt a stratégiát már zero-day Wednesday-ként írja le.

A Microsoft már dolgozik a javításon, olvasható a cég szűkszavú tájékoztatójában.