U petak, 12. travnja, stručnjak za informacijsku sigurnost John Page objavio je informacije o neispravljenoj ranjivosti u trenutnoj verziji Internet Explorera, a također je demonstrirao njezinu implementaciju. Ova ranjivost bi potencijalno mogla omogućiti napadaču da dođe do sadržaja lokalnih datoteka korisnika Windowsa, zaobilazeći sigurnost preglednika.
Ranjivost leži u načinu na koji Internet Explorer rukuje MHTML datotekama, obično onima s ekstenzijom .mht ili .mhtml. Ovaj format koristi Internet Explorer prema zadanim postavkama za spremanje web stranica i omogućuje spremanje cijelog sadržaja stranice zajedno sa svim medijskim sadržajem kao jednu datoteku. Trenutno većina modernih preglednika više ne sprema web stranice u MHT formatu i koristi standardni WEB format - HTML, ali još uvijek podržava obradu datoteka u ovom formatu, a može ga koristiti i za spremanje uz odgovarajuće postavke ili korištenje ekstenzija.
Ranjivost koju je otkrio John pripada XXE (XML eXternal Entity) klasi ranjivosti i sastoji se od neispravne konfiguracije rukovatelja XML kodom u Internet Exploreru. "Ova ranjivost omogućuje udaljenom napadaču da dobije pristup korisnikovim lokalnim datotekama i, na primjer, izvuče informacije o verziji softvera instaliranog na sustavu", kaže Page. "Dakle, upit za 'c:Python27NEWS.txt' će vratiti verziju tog programa (Python interpreter u ovom slučaju)."
Budući da se u sustavu Windows sve MHT datoteke prema zadanim postavkama otvaraju u Internet Exploreru, iskorištavanje ove ranjivosti je trivijalan zadatak budući da korisnik treba samo dvaput kliknuti na opasnu datoteku primljenu e-poštom, društvenim mrežama ili instant messengerima.
“Tipično, prilikom stvaranja instance ActiveX objekta, kao što je Microsoft.XMLHTTP, korisnik će primiti sigurnosno upozorenje u Internet Exploreru koje će tražiti potvrdu za aktiviranje blokiranog sadržaja,” objašnjava istraživač. "Međutim, prilikom otvaranja unaprijed pripremljene .mht datoteke pomoću posebno stiliziranih označnih oznaka korisnik neće primiti upozorenja o potencijalno štetnom sadržaju."
Prema Pageu, uspješno je testirao ranjivost u trenutnoj verziji preglednika Internet Explorer 11 sa svim najnovijim sigurnosnim ažuriranjima na Windows 7, Windows 10 i Windows Server 2012 R2.
Možda je jedina dobra vijest u javnom objavljivanju ove ranjivosti činjenica da je nekad dominantan tržišni udio Internet Explorera sada pao na samo 7,34%, prema NetMarketShareu. Ali budući da Windows koristi Internet Explorer kao zadanu aplikaciju za otvaranje MHT datoteka, korisnici ne moraju nužno postaviti IE kao svoj zadani preglednik i još uvijek su ranjivi sve dok je IE i dalje prisutan na njihovim sustavima i ne plaćaju obratite pozornost na datoteke formata preuzimanja na internetu.
Još 27. ožujka John je obavijestio Microsoft o ovoj ranjivosti u njihovom pregledniku, ali je 10. travnja istraživač dobio odgovor od tvrtke, gdje je naznačeno da ne smatra ovaj problem kritičnim.
"Popravak će biti objavljen samo sa sljedećom verzijom proizvoda", rekao je Microsoft u pismu. "Trenutno ne planiramo objaviti rješenje za ovaj problem."
Nakon jasnog odgovora Microsofta, istraživač je objavio detalje o zero-day ranjivosti na svojoj web stranici, kao i demo kod i video na YouTubeu.
Iako implementacija ove ranjivosti nije tako jednostavna i zahtijeva na neki način prisiljavanje korisnika da pokrene nepoznatu MHT datoteku, ovu ranjivost ne treba shvatiti olako unatoč izostanku odgovora Microsofta. Hakerske skupine koristile su MHT datoteke za phishing i distribuciju zlonamjernog softvera u prošlosti, a sada ih ništa neće spriječiti da to učine.
No, kako biste izbjegli ovu i mnoge slične ranjivosti, samo trebate obratiti pozornost na ekstenziju datoteka koje dobivate s interneta i provjeriti ih antivirusom ili na web stranici VirusTotal. A za dodatnu sigurnost jednostavno postavite svoj omiljeni preglednik osim Internet Explorera kao zadanu aplikaciju za .mht ili .mhtml datoteke. Na primjer, u sustavu Windows 10 to se čini vrlo jednostavno u izborniku "Odabir standardnih aplikacija za vrste datoteka".
Izvor: 3dnews.ru