Microsoft har udsendt sine månedlige sikkerhedsrettelser for maj og med dem lukket endnu et sikkerhedshul.
Det er dog langt fra, hvad verdens største softwareselskab gjorde i april, da selskabet lappede hele 20 forskellige huller i Windows. Flere af dem var kritiske, og det ene er blevet udnyttet af Sasser-ormen og dens efterfølgere til at inficere millioner af pc'er verden over.
Så galt går det ikke med det sikkerhedshul i Windows, som Microsoft nu informerer om og har udsendt en rettelse til. Det kan nemlig ikke udnyttes automatisk af eksempelvis en orm, men kræver, at brugeren selv klikker sig ind på et særligt konstrueret websted.
Microsoft: hullet ikke-kritisk
Af samme grund kategoriserer Microsoft selv rettelsen til hullet som "vigtig" og ikke med den mere alvorlige betegnelse "kritisk". Den kategorisering er alle sikkerhedsselskaber dog ikke enige i, da en angriber kan udnytte hullet til at få fuld kontrol over systemet. Symantec hæfter betegnelsen "høj risiko" på hullet, mens danske CSIS vurderer den potentielle risiko ved hullet til at være "kritisk".
Denne gang er det dog ikke alle Windows-brugere, som behøver at bekymre sig. Hullet berører nemlig ikke ældre versioner af styresystemet, men kun XP og Server 2003, både 32- og 64-bit-versionerne.
Stephen Toulouse, der leder Microsofts Security Response Center, siger til nyhedsbureauet Reuters, at hvis hullet bliver udnyttet, kan angriberen udføre alle de handlinger, som brugeren selv havde kontrol over, på Windows.
Fejl i Windows Help
Fejlen ligger i Windows Help and Support Center, som håndterer informationer fra internetadresser (URL'er) på en usikker måde. For at udnytte hullet skal angriberen først lukke brugeren ind på et websted, som indeholder særlig information til Windows Help and Support Center. Dernæst skal brugeren også lokkes til at foretage andre handlinger, inden angriberen kan tage kontrol over systemet, skriver IDG News Service.
Microsofts rettelse lukker ikke bare det hul, men lukker også af for at par funktioner, som ifølge softwareselskabet kunne udnyttes til ondsindede formål. Microsoft specificerer ikke, hvordan det skulle ske.
For det første lukker rettelsen for en funktion i Windows XP, som giver brugeren mulighed for at opgradere en dvd-decoder. For det andet lukker rettelsen for en funktion i Help and Support Center, som i nogle tilfælde beder brugeren om at sende information om deres nye hardware, når styresystemets installationsguide kører, efter ny hardware er sluttet til pc'en.
Relevant link
Microsofts information om sikkerhedshullet og rettelsen på dansk
