מיקרוסופט מזהירה את המשתמשים מבאג באבטחה של חלונות

קוד המתייחס לבאג חדש באבטחת חלונות הופץ ברשת וגרם היום למיקרוסופט (Microsoft) לשחרר הודעת אזהרה רשמית למשתמשי מערכת ההפעלה. עם זאת, לפי הדיווח של מיקרוסופט, עד שעות הבוקר (ד') לא התגלו התקפות שמנצלות את התקלה, או לפחות לא פורסם עדיין על התקפות כאלה באופן פומבי. הבאג קשור למנוע התצוגה הגרפי של חלונות, ולפי מיקרוסופט תוקף יכול להריץ קוד זדוני כאשר המשתמש נכנס למערכת.

בהודעה המיוחדת מסרה מיקרוסופט, מעבר לדיווח על הבאג, שהוא אינו משפיע על חלונות 7, בגרסאות 32 או 64 ביט. בנוסף, גם מערכות השרתים המבוססות על Windows Server 2008 R2, בגרסאות למעבדי x86 ומעבדי איטניום כאחד, אינן מושפעות מהתקלה הזו. מצד שני משתמשי חלונות XP, ויסטה, Server 2003, וגם Server 2008  צריכים להתייחס להודעת האזהרה (במקרה של Server 2008, חלק מההתקנות מוגנות מפני הבאג). כמו כן יש לציין שהמערכות המושפעות מהבאג סובלות ממנו גם אם עברו את כל עדכוני התוכנה של מיקרוסופט, כולל חבילות השירות האחרונות.

"בכדי לכוון אל הפגיעות הזו מתקיף צריך לשכנע משתמש לבקר בדף אינטרנט זדוני שהוצא במיוחד לצורך המטרה הזו, או לפתוח קובץ וורד או פאוור-פוינט נגוע", כתבה בבלוג שלה אנג'לה גאן, מנהלת בכירה בתחום התקשורת השיווקית של קבוצת המיחשוב של מיקרוסופט, "ויותר מכך, משתמשים שחשבונותיהם הוגדרו כך שיש להם פחות זכויות שימוש במערכת יהיו פחות מושפעים מהתקפה מאלה שפועלים עם זכויות ניהול מלאות".

לפי ה.ד. מור, מנהל אבטחה בכיר ב-Rapid 7, הבאג התגלה לראשונה בכנס אבטחה שנערך בדצמבר האחרון בקוריאה, וקוד הניצול שלו התווסף לכלי בחינת החדירות של החברה לאחרונה. "ניתן להעביר את קוד הניצול הזה גם לסביבת חלונות 7 ולשבץ אותו במגוון סוגי קבצים כמו DOC, PPT וכדומה, אבל לגרסה הנוכחית יש שימוש מוגבל משהו", אמר מור וציין, כי "איני חושב שנראה ניצול נרחב שלו".

ג'רי ברייאנט, מנהל קבוצה בצוות התגובות של מיקרוסופט, טען שהנושא אינו דורש הוצאת עדכון מיוחד ומיידי שאינו במסגרת העדכונים הרגילים שמיקרוסופט משחררת בכל חודש, אבל מסר שהחברה עובדת על תיקון הבאג. חבילת העדכונים הראשונה של מיקרוסופט בשנה החדשה אמורה להיות מוכנה ב-11 בינואר.

כדי לעקוף את הבעיה מציעה מיקרוסופט, בדרך מפורטת שכלולה בהודעה של מרכז התגובה, לשנות את רשימת בקרת הקבוצה (Access Control List) שכלולה בקובץ shimgvw.dll.