מיקרוסופט מסרבת לתקן פגיעות של יום אפס ב-Internet Explorer

ביום שישי, 12 באפריל, פרסם מומחה אבטחת המידע ג'ון פייג' מידע על פגיעות שלא תוקנה בגרסה הנוכחית של Internet Explorer, וכן הדגים את יישומו. פגיעות זו עלולה לאפשר לתוקף להשיג את התוכן של קבצים מקומיים של משתמשי Windows, תוך עקיפת אבטחת הדפדפן.

הפגיעות טמונה באופן שבו Internet Explorer מטפל בקבצי MHTML, בדרך כלל אלה עם סיומת .mht או .mhtml. פורמט זה משמש את Internet Explorer כברירת מחדל לשמירת דפי אינטרנט, ומאפשר לשמור את כל תוכן העמוד יחד עם כל תוכן המדיה כקובץ בודד. נכון לעכשיו, רוב הדפדפנים המודרניים כבר אינם שומרים דפי אינטרנט בפורמט MHT ומשתמשים בפורמט WEB הסטנדרטי - HTML, אך הם עדיין תומכים בעיבוד קבצים בפורמט זה, ויכולים להשתמש בו גם לצורך שמירה בהגדרות המתאימות או שימוש בהרחבות.

הפגיעות שהתגלתה על ידי ג'ון שייכת למחלקת הפגיעות XXE (XML eXternal Entity) ומורכבת מתצורה שגויה של המטפל בקוד ה-XML ב-Internet Explorer. "הפגיעות הזו מאפשרת לתוקף מרוחק לקבל גישה לקבצים המקומיים של המשתמש, ולדוגמה, לחלץ מידע על גרסת התוכנה המותקנת במערכת", אומר פייג'. "אז שאילתה עבור 'c:Python27NEWS.txt' תחזיר את הגרסה של אותה תוכנית (מתורגמן Python במקרה זה)."

מכיוון שבווינדוס כל קבצי ה-MHT נפתחים ב-Internet Explorer כברירת מחדל, ניצול הפגיעות הזו היא משימה טריוויאלית מאחר והמשתמש צריך רק ללחוץ פעמיים על קובץ מסוכן שהתקבל בדוא"ל, ברשתות חברתיות או בהודעות מיידיות.

"בדרך כלל, בעת יצירת מופע של אובייקט ActiveX, כגון Microsoft.XMLHTTP, המשתמש יקבל אזהרת אבטחה ב-Internet Explorer שתבקש אישור להפעלת התוכן החסום", מסביר החוקר. "עם זאת, בעת פתיחת קובץ .mht מוכן מראש באמצעות תגי סימון בעיצוב מיוחד המשתמש לא יקבל אזהרות לגבי תוכן שעלול להזיק."

לפי פייג', הוא בדק בהצלחה את הפגיעות בגרסה הנוכחית של דפדפן Internet Explorer 11 עם כל עדכוני האבטחה האחרונים ב-Windows 7, Windows 10 ו-Windows Server 2012 R2.

אולי החדשות הטובות היחידות בחשיפה הפומבית של הפגיעות הזו היא העובדה שנתח השוק הדומיננטי של אינטרנט אקספלורר בעבר ירד ל-7,34% בלבד, לפי NetMarketShare. אבל מכיוון ש-Windows משתמשת ב-Internet Explorer כיישום ברירת המחדל לפתיחת קובצי MHT, המשתמשים לא בהכרח צריכים להגדיר את IE כדפדפן ברירת המחדל שלהם, והם עדיין פגיעים כל עוד IE עדיין קיים במערכות שלהם והם לא משלמים שימו לב לקבצי פורמט ההורדה באינטרנט.

עוד ב-27 במרץ, ג'ון הודיע ​​למיקרוסופט על פגיעות זו בדפדפן שלהם, אך ב-10 באפריל, החוקר קיבל תשובה מהחברה, שם הצביע על כך שהיא לא רואה בעיה זו כקריטית.

"התיקון ישוחרר רק עם הגרסה הבאה של המוצר", אמרה מיקרוסופט במכתב. "כרגע אין לנו תוכניות לפרסם פתרון לבעיה זו".

לאחר תגובה ברורה של מיקרוסופט, החוקר פרסם באתר שלו פרטים על הפגיעות של יום האפס, כמו גם קוד הדגמה וסרטון ביוטיוב.

למרות שהיישום של הפגיעות הזו לא כל כך פשוט ודורש איכשהו לאלץ את המשתמש להריץ קובץ MHT לא ידוע, אין להקל ראש בפגיעות זו למרות היעדר תגובה ממיקרוסופט. קבוצות האקרים השתמשו בעבר בקובצי MHT לצורך הפצת פישינג ותוכנות זדוניות, ושום דבר לא ימנע מהם לעשות זאת כעת. 

עם זאת, כדי למנוע זאת ומפרצות רבות דומות, אתה רק צריך לשים לב לסיומת הקבצים שאתה מקבל מהאינטרנט ולבדוק אותם באמצעות אנטי וירוס או באתר VirusTotal. ולמען אבטחה נוספת, פשוט הגדר את הדפדפן המועדף עליך מלבד Internet Explorer כיישום ברירת המחדל עבור קבצי .mht או .mhtml. לדוגמה, ב-Windows 10 זה נעשה די בקלות בתפריט "בחר יישומים סטנדרטיים לסוגי קבצים".

מקור: 3dnews.ru