Malky
13.07.2007, 14:03
Специалисты по интернет-безопасности сообщают, что обитателям всемирной паутины грозит новая напасть. Сразу несколько фирм объявили, что обнаружили новую уязвимость, с помощью которой злоумышленники могут получить контроль над системой пользователя. Правда, опасность грозит лишь тем, у кого установлены одновременно два браузера - Internet Explorer и Mozilla Firefox версии 2.0 и выше.
Заметим, что это уже десятая уязвимость в Internet Explorer, обнаруженная за этот год. Правда, данный случай - первый, когда к ошибке приводит наличие в системе браузера Firefox. Некоторые считают, что ошибка стала следствием того, что Microsoft умышленно не заботится о корректной работе сторонних программ, установленных в Windows.
Эксплойт связан с URI (uniform resource identifier) "firefoxurl://", с помощью которого Firefox 2.0 обращается к специализированным веб-ресурсам. Данный URI записывается в регистр Windows. Злоумышленник с помощью Internet Explorer может выполнить команду "ShellExecute" напрямую к файлу Firefox.exe и передать указанный URI-запрос либо без каких-то параметров, либо с заменой ряда параметров собственными. Это позволит ему запустить произвольный сценарий JavaScript и получить с его помощью контроль над системой.
Главная проблема заключается в том, что Internet Explorer не проверяет целостность и корректность ввода команды и ее параметров, поэтому обнаружить попытку взлома и препятствовать ей практически невозможно.
Специалисты по безопасности считают, что угроза может оказаться очень серьезной. Internet Explorer установлен на подавляющем большинстве компьютеров с ОС Windows, так как этот браузер идет в комплекте с системой. Firefox 2.0, появившийся в октябре прошлого года, также успел завоевать солидную аудиторию, которая с каждым днем продолжает расти. Поэтому число систем, где одновременно стоят Internet Explorer и Firefox 2.0, достаточно велико, а, следовательно, велико и количество потенциальных жертв взломщиков.
Представители Mozilla уже отреагировали на сообщение, объявив, что знают об этой уязвимости и работают над необходимой заплаткой. А вот Microsoft хранит молчание, и будет ли компания в ближайшее время затыкать новую дыру в своем браузере – пока неизвестно. Однако способ решить проблему есть уже сейчас, не дожидаясь выхода заплатки. Конечно, можно просто удалить один из браузеров, но существует и более цивилизованный метод. Специалисты фирмы Secunia, занимающейся интернет-безопасностью, считают, что можно избавить себя от угрозы путем удаления URI "firefoxurl://" из регистра Windows.
О том, кто виноват в появлении данной уязвимости - создатели Internet Explorer или Firefox 2.0, - сказать пока трудно. Мнения специалистов разделились, однако большинство из них считает, что в каждом из браузеров хватает ошибок. Microsoft не заботится о проверке запускаемых команд, а Mozilla не учла того, что ее URI может быть модифицирована злоумышленниками. Можно говорить лишь о том, что этот случай станет еще одним поводом для споров между сторонниками каждого из браузеров, которые уже начали обвинять разработчиков конкурирующей программы в халатности.
Автор : Андрей Чаплюк
По материалам telnews
Источник (http://expert.com.ua)
Заметим, что это уже десятая уязвимость в Internet Explorer, обнаруженная за этот год. Правда, данный случай - первый, когда к ошибке приводит наличие в системе браузера Firefox. Некоторые считают, что ошибка стала следствием того, что Microsoft умышленно не заботится о корректной работе сторонних программ, установленных в Windows.
Эксплойт связан с URI (uniform resource identifier) "firefoxurl://", с помощью которого Firefox 2.0 обращается к специализированным веб-ресурсам. Данный URI записывается в регистр Windows. Злоумышленник с помощью Internet Explorer может выполнить команду "ShellExecute" напрямую к файлу Firefox.exe и передать указанный URI-запрос либо без каких-то параметров, либо с заменой ряда параметров собственными. Это позволит ему запустить произвольный сценарий JavaScript и получить с его помощью контроль над системой.
Главная проблема заключается в том, что Internet Explorer не проверяет целостность и корректность ввода команды и ее параметров, поэтому обнаружить попытку взлома и препятствовать ей практически невозможно.
Специалисты по безопасности считают, что угроза может оказаться очень серьезной. Internet Explorer установлен на подавляющем большинстве компьютеров с ОС Windows, так как этот браузер идет в комплекте с системой. Firefox 2.0, появившийся в октябре прошлого года, также успел завоевать солидную аудиторию, которая с каждым днем продолжает расти. Поэтому число систем, где одновременно стоят Internet Explorer и Firefox 2.0, достаточно велико, а, следовательно, велико и количество потенциальных жертв взломщиков.
Представители Mozilla уже отреагировали на сообщение, объявив, что знают об этой уязвимости и работают над необходимой заплаткой. А вот Microsoft хранит молчание, и будет ли компания в ближайшее время затыкать новую дыру в своем браузере – пока неизвестно. Однако способ решить проблему есть уже сейчас, не дожидаясь выхода заплатки. Конечно, можно просто удалить один из браузеров, но существует и более цивилизованный метод. Специалисты фирмы Secunia, занимающейся интернет-безопасностью, считают, что можно избавить себя от угрозы путем удаления URI "firefoxurl://" из регистра Windows.
О том, кто виноват в появлении данной уязвимости - создатели Internet Explorer или Firefox 2.0, - сказать пока трудно. Мнения специалистов разделились, однако большинство из них считает, что в каждом из браузеров хватает ошибок. Microsoft не заботится о проверке запускаемых команд, а Mozilla не учла того, что ее URI может быть модифицирована злоумышленниками. Можно говорить лишь о том, что этот случай станет еще одним поводом для споров между сторонниками каждого из браузеров, которые уже начали обвинять разработчиков конкурирующей программы в халатности.
Автор : Андрей Чаплюк
По материалам telnews
Источник (http://expert.com.ua)