Chybu objevil bezpečnostní výzkumník Tavis Ormandy, který pracuje pro švýcarský Google. Reportoval ji Microsoftu, nechal firmě k opravě ovšem pouze 5 dní a pak zveřejnil jak povahu samotné zranitelnosti, tak i možný způsob útoku. Další bezpečnostní experti takový postup vesměs kritizovali. Ormandy se hájil tím, že bez publicity by Microsoft podle jeho názoru vůbec nijak nereagoval, kritici jeho postupu ovšem upozorňují na nedávné spory mezi Googlem a Microsoftem o zabezpečení Windows (Google a Microsoft se přou o bezpečnost Windows). Pokud Ormandy pracuje pro Google, těžko pak obě kauzy od sebe oddělit, byť Ormandy prohlašuje příslušnou chybu za výsledek svého soukromého výzkumu.
Chyba je zneužitelná především přes starší verze Internet Exploreru, protože je však na úrovni operačního systému, uživatele nechrání ani Mozilla Firefox či Google Chrome. Naopak systémy Windows od Windows Vista tímto problémem netrpí.
Protože do příští pravidelné várky oprav Microsoftu chybí ještě asi 4 týdny, je možné, že zranitelnost bude zalátána i formou mimořádné aktualizace. Microsoft zatím termín vydání opravy blíže nespecifikoval, firma ovšem uvádí, že dosud nezaznamenala žádné útoky. Protože ale metoda proof-of-concept již byla zveřejněna, přijdou pokusy o zneužití zřejmě co nevidět. Cíl je lákavý, vždyť Windows XP jsou stále nejrozšířenějším operačním systémem.
Jedná se už o osmou chybu zero day v produktech Microsoftu v tomto roce.
Ormandy již letos objevil ve Windows zranitelnost starou 17 let a také bezpečnostní chybu v Javě.
PŘEDPLATNÉ
ČLÁNKY DO MAILU