További Biztonság cikkek
Még november 19-én jelentett a Microsoftnak egy újabb biztonsági rést a finn Jouko Pynnonen, melyhez ezidáig nem adott ki javítást a szoftvercég. Az Oy Online Solutions biztonsági szakértője szerint az Internet Explorerben a hiba lehetővé teszi, hogy a végrehajtható kódot ártalmatlan szöveges fájlnak, képnek vagy hangfájlnak álcázva csempésszék be a számítógépre. Így egy veszélyes program minden figyelmeztető üzenet nélkül lefuttatható a felhasználó gépén. A Microsoft dolgozik a javításon, és annak megjelenéséig nem kommentálja az ügyet.
A Microsoft böngészőjében a probléma Pynnonen szerint az URL-ek kezelése és a fájltípust leíró header információ értelmezése miatt lép fel. A biztonsági rés azért számít veszélyesnek, mert egy puszta weboldal kódjával ki lehet aknázni, és nincs szükség a JavaScriptre. Emiatt itt nem alkalmazható az az óvintézkedés sem, hogy a felhasználó ideiglenesen letiltsa az aktív tartalmak végrehajtását.
A problémát a finn szakértő még november 19-én jelentette a szoftvercégnek, és türelmesen várja, hogy megjelenjen a hozzá tartozó javítás. Amíg a patch nem publikus, nem hozza nyilvánosságra a hiba pontos részleteit sem - közölte Pynnonen. Szerinte a Microsoft jelenleg teszteli, és hamarosan kiadja a rést lezáró javítóállományt. A Newsbytes úgy tudja, a finn programozó a napokban tesztelésre megkapta a készülő szoftveres javítókészletet.
Nincs figyelmeztetés
A biztonsági rés lényege abban áll, hogy az álcázott kód a felhasználónak csak két lehetőséget kínál fel. Megnyithatja a kiválasztott fájlt, vagy lementheti a lemezre. Mivel elmarad a végrehajtható állományok esetében szokásos figyelmeztetés, a támadó észrevétlenül bármit bejuttathat a gépre.
Így például egy audió fájlnak vélt preparált állomány letöltése valójában egy program futtatását eredményezheti, ami aztán vírusnak bizonyulhat, vagy backdoor programot telepít a gépre. A támadás minden lépése észrevétlenül történik. A Microsoft egyelőre elzárkózott a hiba kommentálásától, és a készülő javítóállományról sem adtak ki információt.
Weboldal demonstrálja a hibát
Az Oy Online Solutions készített egy oldalt, amely képes demonstrálni a hibát, de ezt csak azok vehetik igénybe, akik vállalják, hogy a hibáról nem hoznak nyilvánosságra részleteket.
Chris Wysopal, az amerikai AtStake biztonsági tanácsadó cég kutatási és fejlesztési igazgatója szerint az IE letöltési hibája egyike a böngésző programot eddig fenyegető a legkomolyabb problémáknak.
Ennek ellenére a hiba kiaknázásához a támadóknak valószínűleg a szerverekhez is hozzá kell férniük, hogy megváltoztathassák a HTTP headerben küldött információt - mondta Wysopal. Szerinte ennek következtében a támadásokat egészen a rossz szándékkal átírt weboldalig vissza lehetne nyomozni.
Az Internet Explorer rendes esetben figyelmezteti a felhasználót, ha végrehajtható állományt készül letölteni illetve lefuttatni. De a most felfedezett rés egyik következményeként egy támadó szándékkal megírt weboldal "viszonylag könnyedén és feltűnés nélkül terjeszthet vírusokat, telepíthet elosztott támadásra használható DDoS zombikat, hátsó bejáratokat, formázhatja a merevlemezt és így tovább" - írta november 26-án Pynnonen a biztonsági szakértők Bugtraq levelezőlistájára.
Érintett az IE 5.0, 5.5, 6.0
A hiba által az Internet Explorer frissebb, illetve az operációs rendszerekkel alapban szállított verziói érintettek: 5.0, 5.5 és a 6.0. Pynnonen szerint az MS Outlook és az Outlook Express közvetett fenyegetettségét az okozza, hogy a csatolt weboldalak vagy HTML formátumban küldött levelek megjelenítésére az IE-t veszik igénybe. Opcionálisan más levelezőprogramok is az IE-re támaszkodnak, vagyis levél útján ezek is támadhatóak.
Kövesse az Indexet Facebookon is!
Követem!
