Nem működik az egyik kritikus Microsoft javítás

Már többször felkerült a Terminal hasábjaira az eEye Digital Security IT-biztonságtechnikával foglalkozó cég neve. Nem véletlenül, hiszen az eEye-nál sok figyelmet fordítanak a biztonsági hibák felkutatására, jelentésére, illetve az azokra készített javítások ellenőrzésére. Ez utóbbinak köszönhető, hogy kiderült: a Redmond által közel három hete megjelentetett javítások egyike nem megfelelően működik.

Először augusztus 20-án adta ki a Microsoft azt a patch-et, ami az Internet Explorer kritikus biztonsági hiányosságát hivatott megszüntetni. Igencsak elkapkodott munka lehetett ez, hiszen 28-án felfrissítették a fixet, mivel az némely, nem alapértelmezett operációs rendszer telepítéssel problémákat okozott. Ez az újabb megjelenés is hagyott kívánnivalókat maga után, mivel a biztonságtechnikai szakértők szerint egyszerűen nem javítja ki azt a hibát, aminek befoltozását lenne hivatott szolgálni.

Maga a sérülékenység egyébként egy ártó szándékkal létrehozott HTML file-lal használható ki; ennek alkalmazásával az áldozatul esett rendszeren úgy lehet kódot futtatni, hogy a felhasználónak semmilyen program elindítására nincsen szüksége ahhoz, hogy számítógépe felett más megszerezhessen az ellenőrzést. ˝Csupán˝ annyit ˝kell˝ tennie, hogy óvatlanul megnéz egy ilyen weblapot (vagy egy HTML-es e-mailt).

A Microsoft képviselője szerint kivizsgálják az eEye jelentését, de eddig nem kaptak olyan irányú értesítést, mely a javítás működésének hibásságára utalt volna. Ezenfelül a cég továbbra is fontosnak tartja az eredeti patch letöltését és feltelepítését mindenki számára. Az IT-biztonsággal foglalkozó cég CHO-ja (chief hacking officer), Marc Maiffret szerint ők sem találtak a patch első (felületes) átnézésekor rendellenességet, ám egy részletesebb audit nyomán már rájöttek, hogy a Microsoft által kiadott fix nem működik. Patthelyzet alakult ki az ügyben.