Viz také: Microsoft potvrdil kritickou chybu v Internet Exploreru
Chyba byla objevena a Microsoftem potvrzena teprve během vánoc. Bezpečnostní experti proto v lednu vydání opravy neočekávali, takže jsou příjemně překvapeni tím, že Microsoft nabízí alespoň nějaké protiopatření. Má podobu Windows Application Compatibility Toolkit; tento nástroj změní nastavení Internet Exploreru a způsob, jímž prohlížeč zpracovává soubor CSS (tedy v němž jsou uloženy definice kaskádových stylů). Právě se skrývá samotná zranitelnost.
Andrew Storms z firmy nCircle Security uvedl na americkém Computerworldu, že je to poprvé, kdy Microsoft použil svůj toolkit tímto způsobem, tedy pro ochranu před útoky zero day. Jinak tato aplikace od Windows XP slouží k dosažení kompatibility mezi aplikací a operačním systémem – tedy měla by umožnit bezproblémový běh stávající aplikace po upgradu na novější verzi Windows. Storms i Wolgang Kandek z firmy Qaulys se domnívají, že Microsoft by tento způsob mohl používat častěji a blokovat takto útoky ještě před vydáním regulérní záplaty. Navíc se oba postupy nijak „neperou“, před instalací vlastní opravy nebude třeba nic vracet do původního stavu/odinstalovávat.
Samotná ochrana spočívá v úpravě knihovny Mshtml.dll, s níž pracuje renderovací engine Internet Exploreru. Změna knihovny předchází útokům vedených pomocí rekurzivního načítání CSS souboru. Experti potvrzují, že zaznamenaná útoky budou takto skutečně zastaveny.
Další informace o problému, doporučený postup a odkazy ke stažení opravného nástroje nabízí web Microsoftu.
To, zda vlastní oprava bude vydána v rámci únorových aktualizací nebo dříve a jako aktualizace mimořádná, Microsoft zatím nijak nekomentoval.
PŘEDPLATNÉ
ČLÁNKY DO MAILU