MS Office jak sitko - 12 dziur do załatania

Microsoft udostępnił właśnie kolejny pakiet uaktualnień dla swoich produktów. Marcowy zestaw poprawek jest dość niezwykły - po raz pierwszy w historii koncern udostępnił patche tylko dla jednej grupy produktów. Do pobrania są cztery uaktualnienia, usuwające łącznie aż 12 różnych błędów w zabezpieczeniach aplikacji z rodziny MS Office - 11 z nich ma status luk krytycznych. Przedstawiciele Microsoftu, a także niezależni specjaliści ds. bezpieczeństwa zalecają użytkownikom pakietu biurowego giganta z Redmond jak najszybsze pobranie i zainstalowanie łatek.

Marcowy pakiet poprawek nie jest tak obszerny jak lutowy - miesiąc temu Microsoft udostępnił 11 uaktualnień, usuwających w sumie 17 różnych błędów. Najnowsze uaktualnienia wydają się jednak ważniejsze - usuwają one z MS Office aż 11 błędów krytycznych ( przed miesiącem poprawek usuwających takie luki było "tylko" 5 ).

Zdaniem specjalistów ds. bezpieczeństwa, zdecydowanie najważniejszym spośród nowych uaktualnień jest to opisane w biuletynie MS08-014 - http://www.microsoft.com/technet/security/bulletin/ms08-014.mspx - usuwa ono w sumie 7 różnych błędów w zabezpieczeniach arkusza kalkulacyjnego Excel ( co najmniej jeden z nich jest już wykorzystywany przez przestępców do atakowania użytkowników aplikacji ). _ "Tą poprawką należy zająć się w pierwszej kolejności - przede wszystkim dlatego, że usuwa ona z Excela wiele poważnych luk, poprzez które atakowani są użytkownicy Windows" _ - mówi Andrew Storms, szef działu bezpieczeństwa firmy nCircle Network Security Inc. Zdaniem Stormsa, jeden z załatanych właśnie błędów jest już od dłuższego czasu wykorzystywany przez przestępców do infekowania komputerów złośliwym kodem - przedstawiciel nCircle przypomina, że pierwsze doniesienia o luce pojawiły się już ponad dwa miesić temu.

Z informacji udostępnionych przez Microsoft wynika, że najpoważniejszy z usuniętych właśnie błędów znajdował się w module, odpowiedzialnym za obsługę makr osadzonych w arkuszach. O luce tej Microsoft po raz pierwszy informował w połowie stycznia - koncern opublikował wtedy alert, ostrzegający użytkowników przed atakami polegającymi na wysyłaniu e-maili z załączonym "złośliwym" plikiem .xls. Koncern zaproponował wtedy kilka prowizorycznych metod zabezpieczenia się przed takim zagrożeniem ( m.in. uruchamianie podejrzanych plików poprzez narzędzie MOICE - Microsoft Office Isolated Conversion Environment ), jednak z udostępnieniem patcha zwlekano aż do teraz.

Microsoft i niezależni specjaliści zgadzają się też co do tego, że jako drugi powinien zostać zainstalowany patch opisany w biuletynie MS08-015 - http://www.microsoft.com/technet/security/bulletin/ms08-015.mspx. Usuwa on poważne błędy we wszystkich obsługiwanych przez Microsoft wersjach popularnego programu pocztowego MS Outlook - od 2000, przez XP i 2003, aż po 2007. Problem dotyczy kodu, odpowiedzialnego za obsługę znacznika URI "mailto" - pozwala on na nieautoryzowane uruchomienie w systemie niebezpiecznego oprogramowania.

Andrew Storms przypomina, że Microsoft usunął kilka miesięcy temu bardzo podobny błąd z przeglądarki Internet Explorer ( podobny problem znaleziono wtedy też w Firefoksie ) - niewykluczone, że to wydarzenie zainspirowało pracowników Microsoftu do bliższego przyjrzenia się modułowi odpowiedzialnemu za obsługę "mailto" w innych produktach. Bardzo możliwe, że koncern znał błąd już od kilku miesięcy - ale skoro nie odkrył go w tym czasie nikt inny, to Microsoft miał sporo czasu na spokojne przeanalizowanie problemu i rozwiązanie go. Błędy w Outlooku są o tyle nietypowe ( w porównaniu z innymi lukami załatanymi w tym miesiącu ), że nie są związane z formatem plików. A to oznacza, że atak z ich wykorzystaniem może polegać na wysłaniu do użytkownika e-maila zawierającego odpowiednio spreparowane łącze ze znacznikiem "mailto" - kliknięcie na nie może spowodować np. otwarcie złośliwej strony WWW. W przypadku innych błędów niezbędne jest skłonienie użytkownika do uruchomienia załączonego do wiadomości pliku.

Storms zwraca też uwagę, że przed zagrożeniem ze strony aż 10 ze wszystkich ujawnionych właśnie błędów można się stosunkowo łatwo zabezpieczyć - wystarczy zalogować się w Windows na koncie o przywilejach niższych niż administrator ( nie dotyczy to jedynie luk w Outlooku ). _ "To chyba pierwsza w historii poprawek Microsoftu sytuacja, w której tak łatwo można zabezpieczyć się przed niebezpieczeństwem" _ - mówi przedstawiciel nCircle.

Dwa ostatnie biuletyny - MS08-016 - http://www.microsoft.com/technet/security/bulletin/ms08-016.mspx oraz MS08-017 - http://www.microsoft.com/technet/security/bulletin/ms08-017.mspx - usuwają po dwa błędy. W pierwszym przypadku są to luki w MS Office, związane z parsowaniem plików oraz obsługą pamięci, w drugim problem dotyczy komponentów OWB ( Office Web Components ).

Amol Sarwate, specjalista z firmy Qualys, zwraca uwagę, że najnowsze luki w MS Office są wręcz idealną ilustracją obserwowanego już od kilku miesięcy trendu. Ze statystyk wynika bowiem, że przestępcy coraz rzadziej atakują systemy operacyjne ( to efekt m.in. intensywnej pracy Microsoftu nad zabezpieczeniem Windows ), a coraz częściej - szukają luk w zainstalowanych w nich aplikacjach. Co oczywiste, celem takich ataków są zwykle najpopularniejsze programy - nic więc dziwnego, że nowe luki zostały znalezione właśnie w MS Office.

Więcej informacji o udostępnionym właśnie pakiecie poprawek dla MS Office znaleźć można na stronie Microsoftu - http://www.microsoft.com/technet/security/bulletin/ms08-mar.mspx. Rekomendowanym przez koncern sposobem pobrania uaktualnień jest skorzystanie z mechanizmu Microsoft Update - http://update.microsoft.com.

więcej w serwisie PC World Komputer »