Të premten, më 12 prill, specialisti i sigurisë së informacionit John Page publikoi informacione rreth një cenueshmërie të pakorrigjuar në versionin aktual të Internet Explorer dhe demonstroi gjithashtu zbatimin e tij. Kjo dobësi mund të lejojë potencialisht një sulmues të marrë përmbajtjen e skedarëve lokalë të përdoruesve të Windows, duke anashkaluar sigurinë e shfletuesit.
Dobësia qëndron në mënyrën se si Internet Explorer trajton skedarët MHTML, zakonisht ato me shtesën .mht ose .mhtml. Ky format përdoret nga Internet Explorer si parazgjedhje për ruajtjen e faqeve të internetit dhe ju lejon të ruani të gjithë përmbajtjen e faqes së bashku me të gjithë përmbajtjen e medias si një skedar i vetëm. Për momentin, shumica e shfletuesve modernë nuk ruajnë më faqe në internet në formatin MHT dhe përdorin formatin standard WEB - HTML, por ata ende mbështesin përpunimin e skedarëve në këtë format, dhe gjithashtu mund ta përdorin atë për të ruajtur me cilësimet e duhura ose duke përdorur shtesa.
Dobësia e zbuluar nga John i përket klasës së dobësive XXE (XML eXternal Entity) dhe përbëhet nga konfigurimi i gabuar i mbajtësit të kodit XML në Internet Explorer. "Kjo dobësi lejon një sulmues në distancë të fitojë akses në skedarët lokalë të një përdoruesi dhe, për shembull, të nxjerrë informacione rreth versionit të softuerit të instaluar në sistem," thotë Page. "Pra, një pyetje për 'c:Python27NEWS.txt' do të kthejë versionin e atij programi (interpretuesi Python në këtë rast)."
Meqenëse në Windows të gjithë skedarët MHT hapen në Internet Explorer si parazgjedhje, shfrytëzimi i kësaj dobësie është një detyrë e parëndësishme pasi përdoruesi duhet vetëm të klikojë dy herë mbi një skedar të rrezikshëm të marrë me email, rrjete sociale ose mesazhe të menjëhershme.
"Në mënyrë tipike, kur krijon një shembull të një objekti ActiveX, si Microsoft.XMLHTTP, përdoruesi do të marrë një paralajmërim sigurie në Internet Explorer që do të kërkojë konfirmim për të aktivizuar përmbajtjen e bllokuar," shpjegon studiuesi. "Sidoqoftë, kur hapni një skedar .mht të përgatitur paraprakisht duke përdorur etiketa shënjimi të stiluara posaçërisht përdoruesi nuk do të marrë paralajmërime për përmbajtje potencialisht të dëmshme."
Sipas Page, ai testoi me sukses cenueshmërinë në versionin aktual të shfletuesit Internet Explorer 11 me të gjitha përditësimet më të fundit të sigurisë në Windows 7, Windows 10 dhe Windows Server 2012 R2.
Ndoshta i vetmi lajm i mirë në zbulimin publik të kësaj dobësie është fakti se pjesa e tregut dikur dominante e Internet Explorer tani ka rënë në vetëm 7,34%, sipas NetMarketShare. Por meqenëse Windows përdor Internet Explorer si aplikacionin e paracaktuar për të hapur skedarët MHT, përdoruesit nuk duhet domosdoshmërisht të vendosin IE si shfletuesin e tyre të paracaktuar dhe ata janë ende të prekshëm për sa kohë që IE është ende i pranishëm në sistemet e tyre dhe nuk paguajnë. vëmendje ndaj skedarëve të formatit të shkarkimit në internet.
Më 27 mars, John njoftoi Microsoft-in për këtë dobësi në shfletuesin e tyre, por më 10 prill, studiuesi mori një përgjigje nga kompania, ku tregoi se nuk e konsideronte këtë problem si kritik.
"Rregullimi do të publikohet vetëm me versionin tjetër të produktit," tha Microsoft në letër. “Aktualisht nuk kemi plane për të nxjerrë një zgjidhje për këtë çështje”.
Pas një përgjigjeje të qartë nga Microsoft, studiuesi publikoi detaje të cenueshmërisë së ditës zero në faqen e tij të internetit, si dhe kodin demo dhe një video në YouTube.
Megjithëse zbatimi i kësaj dobësie nuk është aq i thjeshtë dhe kërkon disi detyrimin e përdoruesit të ekzekutojë një skedar të panjohur MHT, kjo dobësi nuk duhet të merret lehtë pavarësisht mungesës së përgjigjes nga Microsoft. Grupet e hakerëve kanë përdorur skedarë MHT për phishing dhe shpërndarje malware në të kaluarën, dhe asgjë nuk do t'i ndalojë ata ta bëjnë këtë tani.
Sidoqoftë, për të shmangur këtë dhe shumë dobësi të ngjashme, thjesht duhet t'i kushtoni vëmendje zgjerimit të skedarëve që merrni nga Interneti dhe t'i kontrolloni ato me një antivirus ose në faqen e internetit të VirusTotal. Dhe për siguri të shtuar, thjesht vendosni shfletuesin tuaj të preferuar përveç Internet Explorer si aplikacionin e paracaktuar për skedarët .mht ose .mhtml. Për shembull, në Windows 10 kjo bëhet mjaft lehtë në menynë "Zgjidhni aplikacionet standarde për llojet e skedarëve".
Burimi: 3dnews.ru