Nowa, poważna luka w IE

Jak donosi serwis Hacking.pl, od kilku dni w sieci dostępny jest exploit na nową, ciągle niezałataną lukę w przeglądarce Internet Explorer. Każdy, kto spreparuje odpowiednią stronę WWW i "zaprosi" na nią użytkownika surfującego za pomocą przeglądarki Microsoftu, z powodzeniem może wykonać dowolne polecenie na systemie niczego nieświadomej ofiary.

Jak donoszą komunikaty, na atak podatny jest nawet system Windows XP z zainstalowanym SP2 - warunkiem jest obecność biblioteki msdds.dll (Microsoft Design Tools Diagram Surface), która nie jest instalowana jako standardowy składnik systemu Windows, jednakże jest składnikiem powszechnie używanych programów takich jak chociażby Microsoft Office czy Visual Studio.

Błąd został określony jako krytyczny. Do czasu udostępnienia stosownych łat przez Microsoft specjaliści zalecają korzystanie z alternatywnych przeglądarek (np. Firefoksa lub Opery) albo wyłączenie obsługi ActiveX bądź wyrejestrowanie msdds.dll z systemu, co jednak spowodować może wadliwe funkcjonowanie niektórych aplikacji.

Więcej informacji o błędzie i jego wykorzystaniu w serwisie FrSIRT.


Uaktualnienie, 23.08.2005, 13:30

Przyjrzeliśmy się sprawie nieco dokładniej i okazało się, że nie jest to wcale poważny problem. Jak informuje Microsoft w wydanym z tej okazji Poradniku Bezpieczeństwa (906267), problem dotyczy jedynie posiadaczy pakietu Visual Studio 2002 bez zainstalowanej poprawki Service Pack 1. Co prawda jest tam również mowa o użytkownikach Office XP SP3, ale zagrożenie pojawia się tylko w specyficznej konfiguracji, kiedy użytkownik umyślnie skopiuje dwie biblioteki dll pakietu Office do folderu systemowego (szczegóły w Poradniku). Ponadto ważna może być także informacja, że do tej pory nie ujawniono jeszcze pomyślnej próby ataku.

Podsumowując, zagrożonym posiadaczom Visual Studio 2002 polecamy niezwłoczne pobranie i zainstalowanie pakietu Service Pack 1, pozostali użytkownicy zaś mogą czuć się bezpieczni.