Microsoft potwierdził istnienie kolejnej luki w zabezpieczeniach Internet Explorera, o której szczegółach dowiedzieliśmy się we wtorek podczas konferencji Black Hat DC, i opublikował w tej sprawie poradnik zabezpieczeń.

Usterka pozwala odpowiednio spreparowanym witrynom na uzyskiwanie dostępu do systemu plików na komputerze użytkownika. Wystarczy tylko, że napastnik będzie znał konkretną ścieżkę i nazwę pliku, co w przypadku standardowych instalacji nie jest trudne do ustalenia.

Problem dotyczy Internet Explorera w wersji od 5.01 aż do 8 na wszystkich obsługiwanych platformach Windows. Przed udanym atakiem ochroni nas jednak w Internet Explorerze 7 i 8 (w systemie Windows 7, Vista i Server 2003/2008) aktywowany tryb chroniony (Protected Mode), co jest z resztą ustawieniem standardowym. Użytkownicy Windows XP Home również nie są zagrożeni, ponieważ w systemie tym nie ma możliwości dostępu do administracyjnego udziału C$, który jest niezbędny do wykonania ataku.

PrzyczynÄ… problemu jest bÅ‚Ä™dne dziaÅ‚anie ustawieÅ„ strefy bezpieczeÅ„stwa w Internet Explorerze w przypadku przetwarzania informacji o Å›cieżce podanych w formacie UNC (ang. Uniform Naming Convention), takich jak: file://127.0.0.1/C$/…/index.dat. Powoduje to, że kod JavaScript ze strefy internetowej w pewnych okolicznoÅ›ciach może uzyskać dostÄ™p do lokalnie zapisanych plików, pomimo że model stref nie pozwala na takie dziaÅ‚ania. Do obejÅ›cia zabezpieczeÅ„ wykorzystywany jest bÅ‚Ä…d w ustalaniu typów MIME lokalnych plików, a także niedoskonaÅ‚oÅ›ci w przetwarzaniu znaczników OBJECT.

Microsoft pracuje już nad rozwiązaniem problemu, jednak jak twierdzi sam odkrywca luki Jorge Luis Alvarez Medina z Core Security Technologies, opracowanie łaty nie będzie wcale łatwe. Wynika to z faktu, że atak wykorzystuje w praktyce kilka niezależnych od siebie błędów obecnych w przeglądarce firmy Microsoft.

Do czasu opracowania aktualizacji Microsoft przygotował tymczasowe narzędzie naprawcze, dzięki któremu Internet Explorer przestaje obsługiwać adresy w postaci file://.

MateriaÅ‚ pochodzi z serwisu HARD CORE SECURITY LAB.

Źródło: Kolejna luka we wszystkich wersjach Internet Explorera (OSnews.pl)

Popularity: 1%

Sprawdź Także Następujące Wpisy:

Najaktywniejsze Wpisy: