Régen nem övezte akkora médiafigyelem a Microsoft szokásos havi hibajavítását, mint most. A holnapi patch-kedden ugyanis a szoftvercég biztonsági közleménye szerint érkezik többek között az a javítás, amely az ActiveX sérülékenységét igyekszik orvosolni. A hiba fontosságát és foltozás szükségességét jól jelzi, hogy korábban megszólaló IT-biztonsági szakértők szerint az akár a Conficker féregnél is veszélyesebb kártevőt szülhet, ami régen nem látott világjárványt is okozhat.
A hiba a Windows XP és Windows Server 2003 operációs rendszereket érinti, melyeken az Internet Explorer 6-os, vagy 7-es verziója fut. A sérülékenység kritikus minősítést kapott, hiszen kihasználásával a támadó átveheti a felhasználó gépe felett az uralmat, annak tudta és beleegyezése nélkül. A sérülékenységre utazó vírusok könnyen megfertőzhetik a gépeket. A baj bekövetkeztéhez elég, ha például Windows XP operációs rendszerrel és Internet Explorer 7-es böngészővel a felhasználó egy fertőzött web-oldalra téved.
Esetében a félelem talán nem alaptalan, mivel a résre felfigyelő biztonságtechnikai cégek elmondása szerint a hackerek már több ezer web-oldalt feltörtek, hogy elhelyezzék a sérülékenységre utazó vírusaikat. Vagyis a hibajavítás előtt már felpörögtek az események, s a szoftvercég részéről szükséges volt, hogy minél előbb korrigálja a hibát.
Másfél éves rés?
Az ActiveX sérülékenysége ráadásul minden jel szerint másfél évig nyitott kaput jelentet a támadók számára. Szárnyra keltek ugyanis olyan hírek, melyek szerint a Microsoft először 2008 tavaszán értesült arról, hogy hibás az egyik ActiveX-vezérlő. Vagyis másfél évig tartott annak kijavítása. Beszédes, hogy a szoftvercég ezt nem tagadta.
"Több levelet és kérdést is kaptunk vásárlóinktól, akik érdeklődtek, hogy mikor fedeztük fel elsőként a sérülékenységet, és annak kivizsgálása nem tartott-e túl sokáig, hogy a támadók kihasználhassák a rést" - írja Mike Reavey, a cég szóvivője a Microsoft biztonsági blogjában. "Mielőtt belemennék a részletekbe, értse meg mindenki, hogy miután értesültünk a sérülékenységről, megtettük a szokásos lépéseket. A folyamat közepén azonban valaki szintén felfedezte a rést, és támadni kezdte azt. Addigra viszont már mi is a folyamat vége felé jártunk, hogy elássuk felhasználóinkat a megfelelő védelemmel."
Három kritikus, három fontos
Az ActiveX javításával együtt összességében az e havi patch-kedden a szoftvercég 6 sérülékenységet javít szoftvereiben, melyek közül 3 kritikus, 3 fontos besorolást kapott. Előbbiek mind a Windows operációs rendszereket érintik, míg kevésbé súlyos besorolást kapott a Publisher, az ISA (Internet Security and Acceleration) Server és a Virtual PC/Virtual Server rése.
