"Dziura" znajduje się w mechanizmie ASN (Abstract Syntax Notation) - odpowiedzialnym za obsługę różnych typów binarnych danych (np. cyfr lub tekstu). ASN umożliwia aplikacjom rozpoznawania z jakimi typami danych mają doczynienia i poprawne ich interpretowanie. Komponent ten jest elementem systemów operacyjnych Windows NT 4.0, 2000, XP oraz Windows Server 2003.

Zdaniem przedstawicieli firmy eEye, która odkryła ów błąd, w pewnych okolicznościach możliwe jest wywołanie w ASN tzw. błędu przepełnienia bufora - umożliwia to hakerowi uruchomienie na zaatakowanej maszynie dowolnego kodu (np. konia trojańskiego lub wirusa).

Zobacz również:

• Cykl życia tych pakietów biurowych Microsoftu dobiegnie w przyszłym roku końca

Microsoft zaleca wszystkim użytkownikom systemów narażonych na atak jak najszybsze pobranie i zainstalowanie udostępnionego już patcha - znaleźć go można pod adresem:http://www.microsoft.com/technet/treeview/?url=/technet/security/bulletin/MS04-007.asp (aczkolwiek zalecanym przez koncern sposobem pobrania i zainstalowania uaktualnień jest skorzystanie z mechanizmuhttp://windowsupdate.microsoft.com ).

Przedstawiciele eEye ostrzegają jednak, że załatanie "dziury" wcale nie musi oznaczać końca kłopotów z ASN - ich zdaniem, sposób, w jaki Microsoft zaimplementował ten komponent do systemu Windows jest, delikatnie rzecz ujmując, "nienajlepszy" i należy spodziewać się, że w najbliższym czasie będą w nim znajdowane kolejne błędy.

Marc Maiffret, pełniący w eEye funkcję 'chief hacking officer' porównał problem z ASN z zamieszaniem, które kilka miesięcy temu wywołało odkrycie serii błędów w mechanizmie DCOM (Distributed Component Object Model). "Dziury" te umożliwiły m.in. gwałtowne rozprzestrzenienie się robaka MSBlast. Maiffret powiedział również, że nie wykluczone, że już wkrótce w sieci może pojawić się robak, wykorzystujący błąd w ASN, podobnie jak MSBlast wykorzystał "dziurę" w DCOM.

Wraz z opisanym wyżej patchem, Microsoft udostępnił również niewielką łatkę dla przeglądarki IE, przywracającą aplikacji funkcjonalność, umożliwiającą logowanie się do serwisów internetowych poprzez zawartą w adresie URL: nazwę użytkownika i hasło. Opcję tę usuwał z IE udostępniony w ubiegłym tygodniu patch - więcej na ten temat:http://www.pcworld.pl/news/63414.html . Łatkę można pobrać za pośrednictwem mechanizmuhttp://windowsupdate.microsoft.com .