Windows 0-denní zabezpečení Řešení

Nový 0-denní zranitelnost byla potvrzena včera. Tato chyba zabezpečení se týká všech klientů a serverů verze Microsoft Windows až do Windows 7 a Windows Server 2008 R2.

Informační zpravodaj zabezpečení [2501696: http://www.microsoft.com/technet/security/advisory/2501696.mspx] ukazuje, že "existuje slabé kvůli způsobu MHTML interpretuje MIME-formátovaný požadavky na obsah bloky v rámci dokumentu" a že to "by mohla útočníkovi způsobit oběti spustit škodlivé skripty při návštěvě různých webů, což vede k zpřístupnění informací."

Tato chyba zabezpečení existuje kvůli způsobu MHTML interpretuje MIME-formátovaný požadavky na obsah bloky v rámci dokumentu. To je možné za určitých podmínek pro tuto chybu, aby mohla útočníkovi umožnit aplikovat klient-skript na straně odpovědi webový požadavek spustit v kontextu oběti Internet Explorer. Skript může umístit falešný obsah, zpřístupnit informace nebo provést akci, kterou je uživatel přesměrován na postižený web na účet cílového uživatele.

Příklad možného útoku je dána Angela Gunn na [MSRC:http://blogs.technet.com/b/msrc/archive/2011/01/28/microsoft-releases-security-advisory-2501696.aspx] blog:

Například by mohl útočník postavit odkaz HTML určené ke spuštění škodlivého skriptu a nějak přesvědčit cílové uživatele, aby na něj klikněte. Když uživatel kliknul, které odkazují by škodlivý skript spustit na počítači uživatele pro zbytek aktuálního Internet Explorer session.Such skript může shromažďovat informace o uživateli (např. e-mail), spoof obsah zobrazí v prohlížeči, nebo jiným způsobem narušovat s uživatelskými zkušenostmi.

Microsoft připouští, že proof-of-concept kód, bylo zveřejněno, ale uvádí, že si nejsou vědomi aktivní exploitations tohoto problému.

Řešení byl vyslán na stránce bezpečnostní poradní. Je to v podstatě uzamkne protokol MHTML chránit operační systém Windows od možného zneužití. Uživatelé potřebují k úpravě registru systému Windows, pokud se budou držet navrhované akce na stránce bezpečnostní poradní. Administrátoři najít informace o tom, jak jej používat v rámci domény použitím Zásad skupiny i tam.

Další možností je změnit nastavení zabezpečení aplikace Internet Explorer na nejvyšší k blokování ovládacích prvků ActiveX a aktivního skriptování. To může mít dopad na webové stránky a služby, které využívajítechnologií.

[Fix-It: http://support.microsoft.com/kb/2501696] řešení byla vytvořena i což záplatování pohodlnější.