HARD CORE SECURITY LAB

Microsoft potwierdził istnienie kolejnej luki w zabezpieczeniach Internet Explorera, o której szczegółach dowiedzieliśmy się we wtorek podczas konferencji Black Hat DC, i opublikował w tej sprawie poradnik zabezpieczeń.

Usterka pozwala odpowiednio spreparowanym witrynom na uzyskiwanie dostępu do systemu plików na komputerze użytkownika. Wystarczy tylko, że napastnik będzie znał konkretną ścieżkę i nazwę pliku, co w przypadku standardowych instalacji nie jest trudne do ustalenia.

Problem dotyczy Internet Explorera w wersji od 5.01 aż do 8 na wszystkich obsługiwanych platformach Windows. Przed udanym atakiem ochroni nas jednak w Internet Explorerze 7 i 8 (w systemie Windows 7, Vista i Server 2003/2008) aktywowany tryb chroniony (Protected Mode), co jest z resztą ustawieniem standardowym. Użytkownicy Windows XP Home również nie są zagrożeni, ponieważ w systemie tym nie ma możliwości dostępu do administracyjnego udziału C$, który jest niezbędny do wykonania ataku.

Przyczyną problemu jest błędne działanie ustawień strefy bezpieczeństwa w Internet Explorerze w przypadku przetwarzania informacji o ścieżce podanych w formacie UNC (ang. Uniform Naming Convention), takich jak: file://127.0.0.1/C$/.../index.dat. Powoduje to, że kod JavaScript ze strefy internetowej w pewnych okolicznościach może uzyskać dostęp do lokalnie zapisanych plików, pomimo że model stref nie pozwala na takie działania. Do obejścia zabezpieczeń wykorzystywany jest błąd w ustalaniu typów MIME lokalnych plików, a także niedoskonałości w przetwarzaniu znaczników OBJECT.

Microsoft pracuje już nad rozwiązaniem problemu, jednak jak twierdzi sam odkrywca luki Jorge Luis Alvarez Medina z Core Security Technologies, opracowanie łaty nie będzie wcale łatwe. Wynika to z faktu, że atak wykorzystuje w praktyce kilka niezależnych od siebie błędów obecnych w przeglądarce firmy Microsoft.

Do czasu opracowania aktualizacji Microsoft przygotował tymczasowe narzędzie naprawcze, dzięki któremu Internet Explorer przestaje obsługiwać adresy w postaci file://.