Поиск
Несколько новых уязвимостей со статусом "критические" обнаружены в MS Internet Explorer
[12.11.2003]
11 ноября 2003 г. корпорация Microsoft опубликовала бюллетень MS03-48, посвященный обнаружению сразу нескольких уязвимостей в приложении MS Internet Explorer, классифицируемых по шкале угроз компании как "критические" (Critical).
Уязвимости подвержены пользователи следующих версий операционной системы Microsoft Windows:
Кроме того, риск проникновения в систему можно значительно уменьшить, если на компьютере установлен патч, обнародованный в бюллетене Microsoft MS03-040. Не подвержены риску воздействия уязвимостей и пользователи Internet Explorer версии 6 или выше, те, кто используют Microsoft Outlook Email Security Update, Microsoft Outlook Express 6.0 или Microsoft Outlook 2000 с установками по умолчанию.
Первые три уязвимости связаны с кросс-доменной моделью безопасности приложения Internet Explorer, благодаря которой обмен информации между разными доменами в окнах браузера невозможен. Наличие уязвимостей делает возможным запуск срикпта в зоне My Computer. Чтобы воспользоваться брешью, нападающему необходимо разместить в интернете вредоносный веб-сайт и убедить пользователя посетить его, либо отослать вредоносное почтовое сообщение в формате HTML и убедить пользователя открыть такое сообщение. После чего становится возможным доступ к информации, хранящейся на компьютере пользователя, а также запуск кода в контексте безопасности данного пользователя.
Еще одна уязвимость содержится в способе передачи информации о зоне безопасности XML-объекту приложением Internet Explorer. Воспользовавшись этой брешью нападающий может читать файлы, расположенные на атакуемом компьютере в известном ему месте. Воспользоваться брешью можно только в случае, если пользователь загрузит на свой компьютер вредоносный HTML файл, пришедший к нему вместе с письмом или скачанный с веб-сайта. Произойти это может только в том случае, если сам пользователь согласится на скачивание такого файла после демонстрации на экране соответствующей подсказки.
Последняя уязвимость, статус опасности которой обозначен как "средний", состоит в возможности помещения постороннего файла в систему в результате операции перетаскивания объектов мышью в Internet Explorer. Для использования этой уязвимости злоумышленнику необходимо сконструировать сайт с вредоносной ссылкой и убедить пользователя посетить эту ссылку или отослать HTML-сообщение со встроенной в него ссылкой. При нажатии на ссылку существует возможность помещения в систему произвольного файла в обозначенное атакующим место (естественно, доступное в контексте прав данного пользователя). Это может привести, в частности, к помещению в папку автозагрузки любой вредоносной программы и ее исполнению при последующей перезагрузке системы.
ЗАО "ДиалогНаука" призывает всех пользователей вышеуказанных версий ОС Windows установить у себя рекомендуемые патчи. Их можно получить на сайте компании Microsoft: