Pojawiły się nowe informacje na temat dziury w systemie Windows oraz różnych programach, o której pisaliśmy w czwartek.
Tym razem pochodzą one od Mitji Kolseka, prezesa słoweńskiej firmy Acros Security. Opisuje on testy 220 różnych programów, z których 200 okazało się mieć wspomnianą lukę. Jak twierdzi Mitja Kolsek, zagrożenie jest o wiele poważniejsze niż na początku myślano i dotyczy znacznej większości aplikacji dla systemu Windows. Z nowych informacji wynika, że problem ma leżeć w domyślnej kolejności przeszukiwania katalogów podczas ładowania plików wykonywalnych, m.in. DLL. Określać ma ona, że przed katalogami systemowymi przeszukiwany jest katalog bieżący aplikacji. Gdy użytkownik wybiera za pomocą danej aplikacji plik, który chce otworzyć, często się zdarza, że aplikacja ta zmienia katalog bieżący na lokalizację otwieranego pliku. Jeśli teraz w tym samym katalogu, w którym jest otwierany plik, znajdzie się np. drugi plik o nazwie takiej samej jak biblioteka DLL, którą chce załadować aplikacja w celu skorzystania z jej funkcji, zostanie załadowany ten właśnie drugi plik umieszczony przez atakującego.
I tu zaczynają się schody, sytuacja bowiem nie jest tak poważna a przynajmniej tak prosta jak została przedstawiona w wielu serwisach. Po pierwsze żeby atak się udał, aplikacja musi zmieniać swój katalog bieżący. Po drugie próba załadowania pliku DLL musi mieć miejsce po ewentualnej zmianie katalogu bieżącego, tymczasem często ładowanie bibliotek odbywa się przy uruchamianiu programu. Jest jeszcze jedna ważna sprawa: otóż twierdzenie, że najpierw jest przeszukiwany katalog bieżący a potem systemowy nie zawsze jest prawdziwe. Taka sytuacja ma miejsce w Windows 2000 (SP0-SP3). Występuje także w Windows XP (SP0 i SP1) oraz Windows 2000 SP4 ale można ją zmienić wpisem w rejestrze. Począwszy od Windows XP SP2 domyślnie włączona jest opcja SafeDllSearchMode, która określa następującą kolejność przeszukiwania: katalog w którym znajduje się aplikacja, katalog systemowy, 16-bitowy katalog systemowy, katalog Windows, katalog bieżący, katalogi określone w zmiennej środowiskowej PATH.
Jak więc widać stopień zagrożenia zależy od kilku czynników, w tym od wersji Windows. Dalsze informacje mają zostać opublikowane w poniedziałek.
