Microsoft przez rok narażał swoich użytkowników
Wiele wskazuje na to, że Microsoft już przed rokiem został poinformowany o ujawnionej niedawno luce w komponencie DirectShow. Obecnie, według doniesień wielu producentów sprzętu antywirusowego, już tysiące spreparowanych stron WWW wykorzystuje te lukę, aby infekować komputery internautów szkodliwym oprogramowaniem
Christopher Budd z Microsoft Response Center zapytany przez amerykańskich dziennikarzy potwierdził, że Microsoft został poinformowany o luce jeszcze w 200. roku przez specjalistów od zabezpieczeń Ryana Smitha i Alexa Wheelera z IBM-owskiego X-Force. Firma natychmiast zaczęła analizę problemu i doszła do wniosku, że najlepszym rozwiązaniem jest usunięcie problematycznej kontrolki ActiveX z Internet Explorera. To jednak wymagało więcej czasu potrzebnego na usunięcie skutków takiego ruchu.
Firma pracuje obecnie nad patchem, który zamierza udostępnić wtedy, kiedy tylko będzie on spełniał kryteria jakości pozwalające na szeroką dystrybucję. Do tego czasu firma z Redmond proponuję użytkownikom narzędzie Fix-It, za pomocą którego użytkownicy mogą w prosty sposób wyłączyć wrażliwą kontrolkę albo jej obsługę w systemie. Według dotychczasowych analiz ten problem dotyczy jedynie użytkowników Internet Explorera 6 i 7 w systemach Windows XP i Server 2003.
Użytkownicy systemów Vista oraz korzystający z Internet Explorera 8 nie są narażeni na występowanie tego problemu, mimo tego, że także w tych przypadkach Microsoft zaleca zastosowanie na wszelki wypadek wspomnianego narzędzia. Według relacji IBM X-Force system Windows może także ładować tę kontrolkę przy uruchamianiu programów Office i WordPad. Poza tym według IBM-a istnieje jeszcze inna luka w tej kontrolce i ona również może być wykorzystana do przemycenia i uruchomienia szkodliwego kodu.
Z uwagi na pojawienie się modułu Metasploit pozwalającego na wykorzystanie wspomnianej luki, można się spodziewać, że już wkrótce kolejne strony będą zawierały spreparowane pliki MPEG-2. Użytkownicy Windows powinni pobrać i uruchomić narzędzie Fix-It.
wydanie internetowe www.heise-online.pl
