Új Windows-javítások érkeztek, ám egy biztonsági rés még mindig befoltozatlan

[eWeek/HWSW] A Microsoft hibajavítást adott ki a Windows HTML Help ActiveX vezérlőhöz, ezáltal a súgó segítségével már nem támadhatóak a Windowst futtató számítógépek. A kurzor- és ikonkezeléssel kapcsolatos hiba is javításra került. Azonban az Internet Explorert (IE) érintő másik biztonsági résre még nincs megoldás, azon a szoftveróriás szakemberei még dolgoznak.

Egy hibára még nincs gyógymód

"Még mindig dolgozunk az IE frissítésén. Amint meg vagyunk elégedve a hibajavítás minőségével, kiadjuk" -- tudatta Stephen Toulouse, a Microsoft Security Response Center menedzsere.

A most kiadott egyik frissítés, az MS05-001 a HTML Help ActiveX vezérlő kritikus biztonsági résére ad megoldást. A sebezhetőség kihasználásával a támadó átveheti a számítógép fölötti irányítást, és ezáltal adatokat olvashat, manipulálhat, vagy éppen törölhet a feltört számítógépen.

"Ez [a javítócsomag] enyhíti a korábban ismertetett biztonsági problémák veszélyességét. A javítás kifejezetten a HTML Help vezérlő sebezhetőségét szünteti meg, így azt már nem lehet az internet zónán kívüli weboldalakról használni" -- folytatta Toulouse. Toulouse beszámolója szerint az interneten egyre terjednek az érintett biztonsági réseket kihasználó férgek és vírusok. "A HTML Help javítással a hiba kritikussága csökkenthető, amíg nem készülünk el a végleges IE frissítéssel" -- tette hozzá.

A HTML Help sebezhetőség Windows 2000, Windows XP SP2, Windows 98 és Windows NT alatt is kritikus besorolást kapott. Windows Server 2003-on a hiba veszélyességét csak közepesnek minősítették.

Az ikonok és a kurzorok már nem jelentenek veszélyt

A második hibajavítás (MS05-002) a kurzor- és az ikonformátumok kezelésével kapcsolatos hibákat javítja, ezáltal már nem lehet távoli számítógépről tetszőleges kódot futtatni szándékosan hibás ikon- és kurzorfájlok segítségével. Ezt a képkezelési problémát elsőként a Symantec észlelte a karácsonyi ünnepek alatt, azonban egyes oldalak idő előtt tájékoztattak a sebezhetőségről, és konkrét támadási módokat is javasoltak, még mielőtt a szükséges javítás elkészülhetett volna.

A sebezhetőség akár egy weboldal meglátogatásával vagy egy rosszindulatú kódot tartalmazó HTML formátumú e-mail üzenet megnyitásával azonnal kihasználható. "Az a támadó, aki sikeresen kiaknázta a biztonsági rést, teljesen átveheti a számítógép fölötti irányítást" -- áll a Microsoft jelentésében.

A patchek között található még hibajavítás a Windows kerneléhez is, ami egy DoS (Denial of Service, túlterheléses) támadásra alkalmas biztonsági rést szüntet meg, valamint a Windows Indexing Service egy hibája is orvoslásra kerül. Az MS05-003 pedig egy Windows 2000, Windows XP (csak SP1 vagy régebbi verziók), és Windows Server 2003 operációs rendszereken előforduló problémát javít ki.