Újabb biztonsági rés az Internet Explorerben

[CNET] Egy finn IT-biztonságtechnikával foglalkozó cég tegnap figyelmeztetést tett közzé, melyben arról számol be, hogy a Microsoft Internet Explorer a hajdan népszerű, ma kevéssé használt Gopher protokollon keresztül megnyithatja a felhasználók számítógépeit a világháló felé. A biztonsági rést kiaknázva tetszőleges kódot futtathat egy esetleges rosszindulatú betörő.

Az Internet Explorer ugyanis támogatja az időközben némileg elavult, szöveges alapú Gopher protokollt, ám egy biztonsági résnek köszönhetően Gopher szerverekről buffer-túlcsodulási hibát lehet előidézni a programban, ami lehetővé teszi tetszőleges kód futtatását a felhasználó számítógépén.

Az Online Solutions nevű finn cég szerint a Microsoft böngészőjét (IE 5.5 és 6.0) használó felhasználónak nem is kell láthatóan Gopher szerverhez kapcsolódnia ahhoz, hogy a hiba kiaknázható legyen. Egy weboldalon vagy HTML-ben írott e-mailben elhelyezett paranccsal is átirányítható a böngésző egy Gopher alapú szerverre.

S minthogy a Microsoft egyelőre nem adott ki javítócsomagot a biztonsági rés befoltozására, a finn cég azt tanácsolja a biztonságot fontosnak tartó felhasználóknak, hogy fapados módszerrel iktassák ki a Gopher-támogatást. Ehhez elegendő a böngésző Tools (Eszközök) menüpontja alatt található Internet Options (Internet-beállítások) menüben a Connections fül alatt a hálózati beállításokat (LAN Settings) megváltoztatni. Itt a részletes proxy-beállításoknál a Gopher protokollhoz tartozó mezőkbe a "localhost" és "1" értékeket kell beírni, állítja a cég.

A Microsoft jelezte, vizsgálja a problémát, és amint sikerült annak létezését verifikálni, kiadja a szükséges javítócsomagot. Ugyanakkor a redmondi cég rosszallását fejezte ki azzal kapcsolatban, hogy a finnek nyilvánosságra hozták a hiba leírását és annak egyszerű megoldását is. Mint a Microsoft szóvivője elmondta, ezzel fölösleges riadalmat keltenek a felhasználók körében.