Kolejna groźna dziura w Internet Explorerze
-
- Krzysztof Pietrzak,
- 19.08.2005, godz. 09:57
Użytkownicy aplikacji z rodziny MS Office, Visual Studio i innych produktów Microsoftu narażeni są na poważne niebezpieczeństwo, jeżeli korzystają z przeglądarki Internet Explorer. Wszystko z powodu jednej z bibliotek - Msdds.dll. Wykryta w niej "dziura" umożliwia zdalne przejęcie kontroli nad atakowaną maszyną - błąd został więc zaklasyfikowany jako "krytyczny"
Błąd, odkryty przez French Security Incident Response Team (FrSIRT), na szczęście nie dotyczy zbyt wielu użytkowników komputerów. Jak tłumaczy analityk ds. bezpieczeństwa firmy CyberTrust - "Msdds.dll to biblioteka wykorzystywana przy tworzeniu niektórych aplikacji. Choć niewątpliwie znajduje się na płycie CD na przykład pakietu Office XP Proffesional, wątpię aby była instalowana domyślnie." Niestety, ani Microsoft, ani FrSIRT, nie były w stanie dotychczas stwierdzić w jakiej liczbie aplikacji Msdds.dll instaluje się automatycznie.
Rzeczniczka prasowa firmy z Redmond stwierdziła, że nie odnotowano jeszcze przypadków wykorzystania błędu. Nie potwierdziła także, czy i kiedy pojawi się uaktualnienie dla IE. Firma podaje jednak, że już prowadzi w tej sprawie dochodzenie. Póki co, użytkownicy Internet Explorera zadowolić się muszą poradami jak tymczasowo rozwiązać problem.
Porady znaleźć można na witrynie Microsoftu, na podstronie dotyczącej bezpieczeństwa.
Więcej informacji: FrSIRT
Jak informuje CERT Polska, obiekt msdds.dll może zostać wywołany za pomocą odpowiednio przygotowanej strony HTML, która zostanie otwarta przez przeglądarkę IE. W rezultacie można zdalnie wykonać dowolne polecenie na systemie. Podatne na atak są systemy z zainstalowanym msdds.dll, chociaż są doniesienia, że nie wszystkie wersje msdds.dll posiadają lukę. Obiekt standardowo nie jest instalowany jako część systemu Windows, ale jest składnikiem wielu popularnych aplikacji, między innymi Microsoft Office, Visual Studio. Wśród zaleceń Microsoftu, które można wykorzystać do czasu wypuszczenia łaty na lukę znajdują się: wyłączenie ActiveX, ustawienie "kill bit" lub wyrejestrowanie msdds.dll. Alternatywą może być również wykorzystanie innej przeglądarki niż IE, bez obsługi ActiveX.
Więcej informacji: US-CERT Vulnerability Note VU#740372
