Korzystasz z Windows? Załataj IE, DirectX i Bluetooth!
Zgodnie z wcześniejszymi zapowiedziami, Microsoft udostępnił właśnie kolejny pakiet uaktualnień dla swoich produktów. Firma załatała w sumie 10 różnych luk w swoim oprogramowaniu ( cztery z nich uznano za krytyczne ), a także wyłączyła wadliwą kontrolkę ActiveX, wchodzącą w skład oprogramowania dostarczanego wraz ze sprzętem firmy Logitech. Zdaniem specjalistów, najpoważniejszymi z udostępnionych właśnie uaktualnień są poprawki dla Windows, przeglądarki Internet Explorer oraz wbudowanego do "Okien" modułu Bluetooth. Ta ostatnia luka umożliwia automatyczne uruchomienie złośliwego kodu w komputerze z Bluetooth włączonym w dowolnym miejscu publicznym, np. w bibliotece czy kawiarni.
Opublikowane właśnie poprawki, usuwające łącznie 10 błędów, pogrupowano w siedem oddzielnych biuletynów - trzy z nich mają status "krytyczny" ( najwyższy w stosowanej przez Microsoft skali oceny luk ).
Bezprzewodowa luka
Najważniejszym z nich wydaje się biuletyn oznaczony jako MS09-030, zawierający jedną poprawkę, usuwającą krytyczny błąd z wbudowanego do Windows oprogramowania odpowiedzialnego za obsługę protokołu Bluetooth. _ "To najbardziej interesujący z nowych błędów - nigdy wcześniej koncern z Redmond nie był zmuszony do łatania Bluetooth" _ - komentuje Tyler Reguly, specjalista ds. bezpieczeństwa z firmy nCircle Network Security.
_ "Już na pierwszy rzut oka wydaje się, że problem jest poważny - choć biuletyn jest dość niejasny i nie wiadomo dokładnie, czy na przykład problem dotyczy domyślnie skonfigurowanego Windows XP" _ - dodaje Eric Schultze, szed działu IT z firmy Shavlik Technologies. Gdyby okazało się, że luka występuje np. tylko w systemie, w którym ręcznie włączono jakąś funkcję czy usługę, sprawa nie byłaby aż tak poważna.
Z informacji udostępnionych przez Microsoft wynika, że atak na komputer - np. notebook - może zostać przeprowadzony poprzez wysłanie do maszyny dużej liczby odpowiednio przygotowanych zapytań SPD ( Service Discovery Protocols ). Luka pozwala na uruchomienie w zaatakowanym systemie złośliwego kodu - i to bez żadnej akcji ze strony użytkownika.
Problem ten za najważniejszy uważają również specjaliści z Symanteka - _ "Luka jest szczególnie groźna, ponieważ zagraża wielu różnym urządzeniom pracującym pod kontrolą Windows XP lub Vista" _ - tłumaczy Ben Greenbaum, analityk koncernu. Dziurawy Windows i IE
Dwa kolejne krytyczne uaktualnienia - dla Windows ( a konkretnie - dla sterowników multimedialnych DirectX ) oraz przeglądarki Internet Explorer - usuwają z oprogramowania klasyczne luki pozwalające na uruchomienie złośliwego kodu.
W biuletynie MS08-031 znalazły się dwie poprawki, przeznaczone dla IE - jedna ważna i jedna krytyczna. Załatania wymagają w zasadzie wszystkie wersje przeglądarki, włącznie z najnowszą, IE7. Aby wykorzystać aplikację do zaatakowania systemu wystarczy skłonić użytkownika do odwiedzenia odpowiednio zmodyfikowanej strony WWW lub wysłać do niego e-mail z osadzonym złośliwym kodem.
Biuletyn oznaczony MS08-033 ( również krytyczny ) dotyczy dwóch poważnych luk w DirectX. Okazuje się, że podsunięcie użytkownikowi odpowiednio spreparowanych plików multimedialnych ( lub skierowanie go na stronę z taką zawartością ) pozwala na uruchomienie w Windows złośliwego kodu.
Obydwa błędy dotyczą biblioteki quartz.dll - warto zaznaczyć, że Microsoft łatał ją już w przeszłości ( raz w 2005 i raz w 2007 r. ). Microsoft wyłącza kontrolkę Logitecha
Wśród pozostałych, mniej istotnych uaktualnień, szczególnie interesująca wydaje się "ważna" poprawka dla Microsoft Speech API oraz uaktualnienie, którego zadaniem jest wyłączenie kontrolki ActiveX wchodzącej w skład oprogramowania firmy Logitech. Chodzi o aplikację dołączaną do myszy i klawiatur tej firmy - aczkolwiek zaznaczyć trzeba, że jest to produkt firmy BlackWeb ( która sprzedała swój produkt Logitechowi ).
Warto dodać, że na stronie Logitecha można już znaleźć uaktualnioną wersję oprogramowania - Microsoft wyłączył kontrolkę na wyraźne życzenie jej producenta ( koncern z Redmond deklarował kilka miesięcy temu, że jest gotowy do takich działań w razie potrzeby ).
Niestety, wśród poprawek Microsoftu nie pojawiło się uaktualnienie rozwiązujące problem, o którym głośno zrobiło się dwa tygodnie temu. Chodzi o dziurę w Internet Explorerze, która co prawda nie jest szczególnie groźna, jednak w połączeniu z luką w przeglądarce Safari Apple'a ( która sama również nie jest zbyt niebezpieczna ) może zostać wykorzystana do przeprowadzenia skutecznego ataku na Windows. Szerzej o tym problemie pisaliśmy w tekście "Dziury w Safari i IE - niebezpieczny duet".
Więcej informacji na temat najnowszego pakietu poprawek dla Windows można znaleźć na stronie Microsoftu. Rekomendowanym przez koncern sposobem pobrania poprawek jest skorzystanie z mechanizmu Microsoft Update.
