Microsoft on loobunud lahendamast nullpäeva haavatavust Internet Exploreris

Reedel, 12. aprillil avaldas küberjulgeoleku ekspert John Page teavet lahendamata haavatavuse kohta viimases Internet Exploreri versioonis ning demonstreeris selle rakendamist. See haavatavus võib potentsiaalselt lubada ründajal pääseda ligi Windowsi süsteemide kasutajate lokaalfailide sisule, mööda minnes brauseri turvasüsteemist.

Haavatavus seisneb selles, kuidas Internet Explorer käsitleb MHTML-formaadis faile, mis tavaliselt omavad .mht või .mhtml laiendit. See formaat kasutatakse Internet Exploreris vaikimisi veebilehtede salvestamiseks ja võimaldab salvestada kogu lehe sisu koos meediainfoga ühe faili kujul. Praeguseks ei salvesta enamik kaasaegseid brausereid veebilehti MHT-formaadis ja kasutavad selle asemel veebistandardit HTML, kuigi nad toetavad endiselt failide töötlemist selles formaadis ning võivad seda kasutada salvestamiseks vastavate seadistuste või laiendite abil.

Johni avastatud haavatavus kuulub XXE (XML eXternal Entity) haavatavuste klassi ning seisneb XML-koodi töötleja vale konfiguratsiooni Internet Exploreris. „See haavatavus võimaldab kaugusel asuval ründajal pääseda ligi kasutaja lokaalfailidele ja näiteks välja võtta teavet süsteemis installitud tarkvara versiooni kohta,“ selgitab Page. „Nii tagastab päring aadressile ‘c:Python27NEWS.txt’ selle programmi versiooni (antud juhul Python interpreteri).“

Kuna Windowsis avatakse kõik MHT-failid vaikimisi Internet Exploreris, on selle haavatavuse kasutamine trivialne ülesanne, kuna kasutajalt nõutakse vaid kahte klõpsamist ohtlikule failile, mille ta on saanud e-kirjas, sotsiaalmeedias või sõnumiteenusena.

Kuna tavaliselt, kui luuakse ActiveX-objekti eksemplar, nagu Microsoft.XMLHTTP, annab Internet Explorer kasutajale süsteemi turvadeadke, mis küsib kinnitust blokeeritud sisu aktiveerimiseks, selgitab uurija. "Kuid, kui avada eelnevalt ette valmistatud .mht-fail, kasutades spetsiaalselt vormindatud tähtedega, ei saa kasutaja hoiatust potentsiaalselt ohtliku sisu kohta."

Peyge sõnul testis ta edukaid haavatavusi praeguses Internet Explorer 11 versioonis, millele on lisatud kõik viimased turvauuendused Windows 7, Windows 10 ja Windows Server 2012 R2 süsteemides.

Tõenäoliselt on ainus hea uudis selle haavatavuse avalikustamisel see, et kunagi domineeriv Internet Exploreri turuosa on praegu langenud umbes 7,34% -ni, vastavalt NetMarketShare'i andmetele. Kuid kuna Windows kasutab Internet Exploreri MHT-failide avamiseks vaikeprogrammina, ei pea kasutajad IE-d vaikimisi brauserina kasutama ja nad on endiselt haavatavad, kuni IE on nende süsteemides olemas ning nad ei pööra tähelepanu internetis allalaaditavatele failiformaatidele.

Juba 27. märtsil teatas John Microsoftile sellest haavatavusest nende brauseris, kuid 10. aprillil sai uurija ettevõttelt vastuse, milles öeldi, et nad ei pea seda probleemi kriitiliselt oluliseks.

"Parandus antakse välja alles järgmise tooteversiooniga," öeldakse Microsofti kirjas. "Praegu ei plaani me selle probleemiga seotud lahendust välja anda."

Peale Microsofti selget reaktsiooni avaldas uurija oma veebisaidil üksikasjad nullpäeva haavatavuse kohta, samuti demonstraatorikoodi ja video YouTube'is.

Kuigi selle haavatavuse rakendamine ei ole nii lihtne ja nõuab mingil moel kasutaja sundimist tundmatu MHT-faili käivitamiseks, ei peaks seda haavatavust kergekäeliselt võtma, hoolimata Microsofti puuduvast reageerimisest. Hackerigruppide seas on juba varem kasutatud MHT-faile phishinguks ja pahavarade levitamiseks ning eiOle midagi, mis takistaks neil seda ka praegu teha. 

Kuid selleks, et vältida seda ja palju sarnaseid haavatavusi, piisab lihtsalt tähelepanu pööramisest failide laiendusele, mida te Internetist saate, ning nende kontrollimisest viirusevastase tarkvara või VirusTotali veebisaidi abil. Ja täiendava kaitse saamiseks seadke failide .mht või .mhtml standardrakenduseks oma lemmikbrauser, mis pole Internet Explorer. Näiteks Windows 10-s saab seda teha hõlpsasti menüüs „Tüübid failide jaoks standardrakenduste valimine“.

Allikas: 3dnews.ru