Trzy nowe "dziury" Microsoftu

Microsoft poinformował o kolejnych lukach w zabezpieniach swoich produktów. Wszystkie trzy nowe "dziury" określane są przez koncern jako "krytyczne".

Najmniej groźną lukę wykryto w usługach XML Core Services (a dokładniej we wchodzącej w ich skład kontrolce ActiveX XMLHTTP). Okazało się, że w pewnych sytuacjach mogą one ignorować zabezpieczenia przeglądarki, pozwalając nieautoryzowanym użytkownikom na odczyt plików znajdujących się na komputerze ofiary. Aby uzyskać dostęp do określonego pliku, haker musi jednak znać jego dokładną lokalizację. Poza tym dostęp taki odbywa się w trybie "Read-only" (tylko do odczytu).

Luka dotyczy XML w wersjach 2.6, 3.0 i 4.0. Oznacza to, że na niebezpieczeństwo narażone są SQL Server 2000, Windows XP i Internet Explorer 6.0.

Drugi z błędów znajduje się w zabezpieczeniach filtra ISAPI w programie Commerce Server 2000. Usługa AuthFilter, odpowiedzialna za autoryzację użytkowników, zawiera niesprawdzany bufor danych. W rezultacie napastnik może przejąć kontrolę nad systemem, uruchamiając pod jego kontrolą dowolną aplikację. Komputer ofiary może też stać się celem ataku DoS. Luka znajduje się jedynie w Commerce Server - nie dotyczy zaś IIS.

Najbardziej niebezpieczna z trzech nowo wykrytych "dziur" jest jednak luka w systemie zabezpieczeń języka VBScript w Internet Explorerze w wersjach 5.1, 5.5 i 6.0. Mogą one być wykorzystane do uzyskania pełnego dostępu do lokalnego dysku użytkownika, przechwytywania jego haseł, czy monitorowania odwiedzanych stron WWW. Możliwe jest także wykorzystanie "dziury" za pomocą odpowiednio spreparowanej HTML-owej wiadomości e-mail.