Microsoft: критична помилка безпеки є у всіх версіях ie

15.12.2008 | Павло Михайлов

Минулого тижня компанія Microsoft попередила користувачів Internet Explorer 7 про наявність в браузері критичної помилки, іспользующейсяхакерамі, і в якості рішення запропонувала виконати ряд налаштувань, що стосуються рівня безпеки, скриптів і захисту пам`яті. Однак трохи пізніше датскаяісследовательская компанія заявила, що зазначені заходи боротьби недостатні, а, крім того, сама Microsoft заявила про наявність критичної помилки не тільки в IE7, а й у всіх більш ранніх і пізніх версіях браузера, включаючи IE5.01, IE6, IE7, і навіть IE8 Beta 2.

За заявою Microsoft, комп`ютери всіх людей, що використовують зазначені вище браузери під операційними системами Windows 2000, XP, Vista, Server 2003 іServer 2008, знаходяться під загрозою. Таким чином, раніше сказані компанією слова про "обмеженому числі атак, які намагаються використовувати етууязвімость", м`яко кажучи, були зменшені. Цього разу, однак, компанія заявила, що знайшла корінь проблеми, який, за її словами, криється не вкоде рендеринга HTML, а в функціональності компонування даних, що використовується в IE. "Уразливість існує у вигляді помилковою посилання покажчика в функцііоб`едіненія даних в Internet Explorer", заявила Microsoft. "Коли об`єднання даних включено (що є станом за замовчуванням), то привизначенні умовах, є можливість випускати об`єкти без поновлення довжини масиву, залишаючи потенціал для доступу до віддаленого пространствупамяті об`єкта. Це може призводити до раптового переходу Internet Explorer в стан, схильне роботі експлоїта" .

Компанія заявила, що помилка міститься в бібліотеці "oledb32.dll", яка сама по собі є компонентом Microsoft Data Access - наборатехнологій для доступу до різних типів даних. В якості вирішення Microsoft поки порекомендувала "відключити або зробити непридатними функції етойбібліотекі", однак патча, що виправляє цю уразливість поки не випустила. Аналогічне рішення поки пропонують і інші дослідницькі компанії, на кшталт копенгагенської Secunia APS. Зробити це можна командою lt; gt ;, однак, по мненіюнекоторих людей, відключення oledb32.dll може стати причиною безлічі інших проблем - адже ця бібліотека не відноситься до числа бібліотек толькоInternet Explorer і використовується безліччю інших додатків.

Поки невідомо, коли Microsoft випустить оновлення безпеки. Втім, аналітики вважають, що досить скоро, тому "нам необхідно всього лішьподождать". До речі кажучи, таких "нас" досить багато. За листопадовим даними Net Applications Inc. браузери IE все ще широко використовуються - обсяг їхвикористання досягає 69,8%.

джерело: winline.ru