Дефект в механизме сценариев ActiveX получил известность в июне, когда с его помощью злоумышленники использовали целую сеть взломанных веб-сайтов для установки своей программы на ПК жертв. Microsoft решила заткнуть дыру, лишив компонент ActiveX возможности что-либо записывать в операционную систему. Компания опубликовала поправку на своем веб-сайте и рекомендует заказчикам использовать для ее установки службу Windows update.

По словам менеджера программы безопасности Microsoft Security Response Center Стивена Тулуза, компания намерена внести это изменение в стандартную конфигурацию Windows, однако продолжает работать над более всеобъемлющим решением. «Это постоянное изменение, но оно является промежуточным шагом, — сказал он. — Наше исследование в самом разгаре. Мы проанализировали функциональность продукта и поняли, что именно ее и используют злоумышленники».

Несколько взломанных веб-сайтов заражали компьютеры посетителей программой под названием Download.Ject или JS.Scob.Trojan. Она регистрирует последовательность нажимаемых клавиш и отправляет эту информацию по зарубежным адресам e-mail. Эта и ряд других проблем безопасности Internet Explorer дали повод некоторым экспертам рекомендовать пользователям перейти на альтернативные браузеры.

В результате предложенного Microsoft изменения конфигурации блокируется способность компонента ActiveX ADODB.screen записывать данные на жесткий диск ПК. Механизм ActiveX, обеспечивающий веб-сайтам возможность интерактивной работы с Internet Explorer, давно считается небезопасным.

Данная конкретная уязвимость известна уже более девяти месяцев, говорит директор по реагированию на инциденты секьюрити-фирмы Tipping Point Дэвид Энглер. «В онлайне давно присутствуют инструкции, ужесточающие конфигурацию, но все равно хорошо, что эта поправка, наконец, хоть и с большим опозданием, стала доступна массам».

Microsoft продолжает изучать эту проблему и намерена подготовить более полное исправление. К тому же этим летом компания должна выпустить крупное обновление к Windows XP — т. н. Service Pack 2.

Источник: ZDNet.ru