W piątek, 12 kwietnia, specjalista ds. bezpieczeństwa informacji John Page opublikował informacje o niezałatanej luce w aktualnej wersji Internet Explorer oraz zaprezentował jej wykorzystanie. Ta luka potencjalnie może umożliwić napastnikowi uzyskanie zawartości lokalnych plików użytkowników systemów Windows, pomijając zabezpieczenia przeglądarki.
Luka dotyczy sposobu, w jaki Internet Explorer przetwarza pliki w formacie MHTML, zwykle z rozszerzeniem .mht lub .mhtml. Format ten jest używany w Internet Explorer domyślnie do zapisywania stron internetowych i pozwala na zapisanie całej zawartości strony wraz z całym materiałem multimedialnym w postaci jednego pliku. Obecnie większość nowoczesnych przeglądarek nie zapisuje już stron internetowych w formacie MHT, korzystając zamiast tego ze standardowego formatu WEB — HTML, jednak wciąż obsługują przetwarzanie plików w tym formacie i mogą go używać do zapisywania przy odpowiednich ustawieniach lub za pomocą rozszerzeń.
Luka odkryta przez Johna należy do klasy luk XXE (XML eXternal Entity) i dotyczy niewłaściwej konfiguracji przetwornika XML w Internet Explorer. "Ta luka pozwala zdalnemu napastnikowi uzyskać dostęp do lokalnych plików użytkownika i na przykład wyodrębnić informacje o wersji oprogramowania zainstalowanego w systemie," mówi Page. "Tak więc, zapytanie o ‘c:Python27NEWS.txt’ zwróci wersję tego programu (interpretera Pythona w tym przypadku)."
Ponieważ w systemie Windows wszystkie pliki MHT domyślnie otwierają się w Internet Explorer, wykorzystanie tej luki jest trywialnym zadaniem, ponieważ użytkownik musi tylko dwukrotnie kliknąć niebezpieczny plik otrzymany w wiadomości e-mail, w mediach społecznościowych lub komunikatorach.
„Zazwyczaj, przy tworzeniu instancji obiektu ActiveX, takiego jak Microsoft.XMLHTTP, użytkownik otrzymuje ostrzeżenie systemu zabezpieczeń w Internet Explorerze, które prosi o potwierdzenie aktywacji zablokowanej zawartości”, wyjaśnia badacz. „Jednak przy otwieraniu wcześniej przygotowanego pliku .mht z użyciem specjalnie sformatowanych znaczników użytkownik nie otrzyma ostrzeżenia o potencjalnie niebezpiecznej zawartości.”
Według Pejdża, udało mu się skutecznie przetestować lukę w aktualnej wersji przeglądarki Internet Explorer 11 ze wszystkimi najnowszymi aktualizacjami zabezpieczeń w systemach Windows 7, Windows 10 oraz Windows Server 2012 R2.
Prawdopodobnie jedyną dobrą wiadomością z ujawnienia tej luki publicznie jest fakt, że dawniej dominujący udział w rynku Internet Explorera obecnie spadł do zaledwie 7,34%, według NetMarketShare. Jednak ponieważ Windows używa Internet Explorera jako domyślnej aplikacji do otwierania plików MHT, użytkownicy nie muszą ustawiać IE jako domyślnej przeglądarki, a nadal są narażeni, dopóki IE nadal znajduje się w ich systemach i nie zwracają uwagi na format plików pobieranych z internetu.
Jeszcze 27 marca John powiadomił Microsoft o tej luce w ich przeglądarce, ale 10 kwietnia badacz otrzymał odpowiedź od firmy, w której stwierdzono, że nie uważa tego problemu za krytycznie ważny.
„Poprawka zostanie wydana dopiero z następną wersją produktu”, mówi w liście Microsoft. „Obecnie nie planujemy wydania rozwiązania dla tego problemu.”
Po jednoznacznej reakcji Microsoft, badacz opublikował szczegóły dotyczące luki zero-day na swojej stronie internetowej, a także kod demonstracyjny i wideo na YouTube.
Chociaż wykorzystanie tej luki nie jest tak proste i wymaga w jakiś sposób zmuszenia użytkownika do uruchomienia nieznanego pliku w formacie MHT, nie należy jej lekceważyć pomimo braku reakcji ze strony Microsoft. Grupy hakerskie już wykorzystywały pliki MHT do phishingu i rozprzestrzeniania złośliwego oprogramowania w przeszłości, więc nic nie powstrzyma ich przed robieniem tego ponownie.
Aby uniknąć tego oraz wielu podobnych luk, wystarczy zwrócić uwagę na rozszerzenie plików, które otrzymujesz z Internetu, oraz sprawdzić je za pomocą programu antywirusowego lub na stronie VirusTotal. Dla dodatkowego zabezpieczenia możesz przypisać pliki .mht lub .mhtml do swojego ulubionego przeglądarki, innej niż Internet Explorer. Na przykład w Windows 10 można to łatwo zrobić w menu „Wybór domyślnych aplikacji dla typów plików”.
Źródło: 3dnews.ru
