Microsoft ostrzega przed luką w MHTML w Windows XP i nowszych

Microsoft opublikował notatkę zabezpieczeń, w której ostrzega przed luką w obsłudze stron zapisanych w formacie MHTML pozwalającą na zdalne wykonanie złośliwego kodu.

Jeśli atakujący zdoła przekonać użytkownika do kliknięcia w link do specjalnie przygotowanej witryny, wówczas oprócz wyświetlenia docelowej strony równocześnie na komputerze może zostać wykonany złośliwy skrypt. Taki skrypt może być szczególnie niebezpieczny, jeśli użytkownik wywołujący go posiada uprawnienia administratora. Kod skryptu wykonywany jest bowiem w kontekście aktualnie zalogowanego użytkownika. Warto zauważyć, że problem dotyczy nie samej przeglądarki Internet Explorer jako takiej, a komponentu istniejącego w systemach Windows XP i nowszych odpowiedzialnego za obsługę formatu MHTML. Z tego też powodu potencjalnie zagrożeni są także użytkownicy Opery w wersjach 9 i nowszych, bo ta jako jedyna spośród wiodących przeglądarek oprócz Internet Explorera obsługuje domyślnie strony MHTML.

Microsoft pracuje nad dokładną diagnozą i rozwiązaniem problemu. W międzyczasie firma poleca wyłączyć obsługę formatu MHTML w strefie Internet lub całkowicie. Stosowne instrukcje znajdują się na stronach Microsoftu. W szczególności dostępne jest narzędzie FixIt, które jednym kliknięciem pozwala podjąć zalecane działania i zabezpieczyć się przed niebezpieczeństwem ze strony opisywanej luki.