Ma jön patch az IE sebezhetőségére
A Microsoft a mai nap folyamán soronkívüli biztonsági frissítést fog kiadni ahhoz a napokban hírhedté vált Internet Explorer sebezhetőséghez, amelyen keresztül betörtek a Google rendszerébe is. Működő, publikus támadó kód is elérhető már.
Előzetes biztonsági közlönyében a Microsoft bejelentette, hogy még ma patcheli azt a biztonsági rést, amelyet kihasználva lényegében a támogatott Internet Explorer és Windows operációs rendszerek összes kombinációja sebezhető. A Microsoft tudomása szerint az IE6-XP páros ellen folynak célzott támadások, ez ugyanakkor nem zárhatja ki azt, hogy más verziókat is tűz alá vesznek bűnözők. Az eset különösen kockázatos lehet nagyvállalatok számára, ahol az IE6 és a Windows XP a mai napig széles körben használatos.
Biztonsági szakértők véleménye szerint a támadási felület megbízhatóan kiaknázható, és legjobb esetben is a rendszer összeomlásához vezet, vagyis szolgáltatásmegtagadásos manőverhez mindenképpen megfelel. Rosszabb esetben a támadó bejut a rendszerre, és saját kódot futtathat. A támadáshoz egy megfelelően szkriptelt HTML oldallal kell megetetni a célzott gépeket, ami praktikusan legegyszerűbb módon a felhasználó elcsalását jelenti, de működhet csatolmányok megnyitásán keresztül is. A kód immár teljesen publikus.
Bár korábban arról volt szó, hogy az IE 5.01 SP4 és a Windows 2000 SP4 nem érintettek, a Microsoft ezekhez is kiad frissítést, ami arra utal, hogy a kódot igazítani lehet ilyen rendszerek ellen is. Ez azt jelenti, hogy praktikusan az IE és a Windows össze verziója érintett a frissítésben, beleértve az Itanium szervereket is. Kivételt egyedül a Server Core telepítések jelentenek. További információval magyar idő szerint ma este 10 órakor fog szolgálni a Microsoft, vagyis még a nap folyamán kiadja terjesztésre a biztonsági patchet.
A Microsoft ezzel pontot tehet az elmúlt napokban támadt kálvária végére, amelynek során többek közt a német szövetségi IT-biztonsági hivatal is azt tanácsolta, hogy a javításig inkább ne használjuk az Internet Explorert, és térjünk át alternatív böngészőkre. A Firefox és az Opera is arról számolt be, hogy a szokásos letöltési aktivitás megduplázódott, vagy esetenként megháromszorozódott ezt követően. A Microsoft szerint a böngésző lecserélése nem jó ötlet, mivel egy specifikus rés elől valószínűleg egy lyukakkal teli szoftverhez menekülünk, mint amilyen szerinte a Firefox is.
A Firefox 3.6 végleges kiadása ma érkezett meg, az ígéretek szerint többek közt jóval gyorsabb JavaScript végrehajtással, optimalizált memóriakezeléssel, jobb HTML5 támogatással, valamint megkezdődik a Windows 7 és Vista felülettel történő szorosabb vizuális integráció is. Az új kiadás letölthető a magyar FSF oldaláról is.
Háttér: projekt Aurora
A Google egy hete jelentette, hogy ellene és más cégek, többek közt az Adobe Systems, a Symantec és a Juniper elleni sikeres támadásokat hajtottak végre Kínából, amelynek részeként egyes esetekben sikeresen hatoltak be és szereztek információkat. A Google és mások elemzése szerint a kiterjedt és célzott támadások tavaly decemberben következtek be, és koordináltaknak tűntek. A McAfee szerint a projekt Aurora néven fut, amelyre az egyik támadó gépének elemzésével bukkantak.
A Google egyértelműen azt sugallta, hogy a kínai kormányzat áll a háttérben, amelynek célja a szólásszabadság korlátozása, mivel szabadságjogi harcosok adatai képezték többek közt a célpontokat. Az amerikai kormányzati szervek értesítését követően a kérdés diplomáciai szintre emelkedett, Washington hivatalosan is magyarázatot kér Pekingtől. Az incidensre válaszlépésül a keresőóriás nem hajlandó többé cenzúrázni kínai találatait, megszegve ezzel a kínai kormánnyal kötött megállapodást és a helyi szabályokat, és kivonulással fenyeget. A kínai oldal erre csak annyit felelt, hogy minden cégnek be kell tartania a helyi törvényeket.