Poprawką dla błędów o znaczeniu krytycznym, powinni się zainteresować posiadacze przeglądarek IE w wersji: 5.01, 5.5, 6.0 oraz 6.0 SP1 (6.0 z zainstalowanym Service Packiem 1). Do zaatakowania może dojść po odczytaniu wiadomości w formacie HTML bądź odwiedzeniu strony w Internecie, której specjalny kod może się następnie uruchomić na komputerze ofiary. Niebezpieczeństwo może również dotyczyć użytkowników IE 6.0 operujących pod systemem Windows 2003 Server. Jednak tutaj narażeni są jedynie Ci, którzy dokonali zmian w domyślnej konfiguracji przeglądarki. Z względu na zniwelowane w ten sposób rozprzestrzenianie się problemu, Microsoft obniżył kategorię ważności błędu dla tego systemu.

Pierwszy z krytycznych błędów, odnosi się do problemu przepełnienia bufora w kontrolce ActiveX, części dotyczącej pomocy HTML systemu Windows. Patch dodając specjalną instrukcję w pliku kontrolki BR549.DLL deaktywuje ją oraz zapobiega ponownej instalacji. Kontrolka ActiveX jest częścią narzędzia Windows Reporting Tool, które nie jest już wspierane przez IE. Druga z krytycznych dziur, którą łata patch, dotyczy niewłaściwego obchodzenia się ze znacznikami obiektów w języku HTML. W sytuacji, gdy przeglądarka natrafi w kodzie strony na odwołanie do serwera sieciowego w celu pobrania pliku i wysyła zapytanie, nie weryfikuje go przy odbieraniu. To pozwala atakującemu na przesłanie przez przeglądarkę dowolnego pliku i uruchomieniu go na komputerze ofiary, z przywilejami użytkownika.

Zobacz również:

• Facebook bez treści informacyjnych w Kanadzie
• Meta opracowała webową wersję usługi Imagine

Oczywiście tak jak w poprzednich wersjach, patch zawiera wszystkie dotąd opublikowane łatki dotyczące IE, w tym likwiduje problem interferowania ze sobą stron z różnych stref bezpieczeństwa, co pozwalało wykonywać się skryptom ze strefy internetowej w strefie prywatnej.

Problem dotyczący MDAC (Microsoft Data Access Components) został opisany w osobnym biuletynie bezpieczeństwa i dotyczy wersji 2.5 oraz 2.7, domyślnie instalowanych w systemach serii XP, 2000 oraz Millenium Edition. Jest także częścią oprogramowania Windows NT 4.0 Option pack oraz serwerów baz danych Access i SQL. Atakujący może wykonać kod na zdalnej maszynie tylko w przypadku, gdy utworzy fałszywy serwer SQL w tej samej podsieci, co ofiara. MDAC w wersji 2.8 w Windows 2003 Server jest już zabezpieczony przed tego typu praktykami.

Dodatkowe informacje oraz patch dla IE:http://www.microsoft.com/technet/security/bulletin/MS03-032.asp

Dodatkowe informacje oraz patch dla MDAC: http://www.microsoft.com/technet/security/bulletin/MS03-033.asp