Computerworld News Service: Microsoft advarer nu mod en fejl, der findes i Windows' Canonical Display Driver, som blander styresystemets primære grafiske interface, også kaldet Graphics Device Interface (GDI) med DirectX for at skabe desktoppen.
Ifølge Jerry Bryant, som er group manager ved Microsoft Security Response Center (MSRC), påvirker sårbarheden alle maskiner med det prangende 'Aero'-interface, som er default på alle Windows 7-maskiner bortset fra de allerbilligste. Der er desuden mulighed for at installere Aero på Windows Server 2008 R2.
"Hvis fejlen bliver udnyttet, så vil det sandsynligvis få maskinen til at holde op med at svare og til at genstarte," fortæller Jerry Bryant i et indlæg på MSRC's blog.
"Selv om det i teorien er muligt, vil det være svært at køre kode på grund af det såkaldte memory randomization i kerne-hukommelsen og 'Address Space Layout Randomization' (ASLR)."
Men ASLR, som er et af bolværkerne for sikkerheden i både Windows 7 og i Vista, er gentagne gange blevet knækket af forskellige eksperter, heriblandt de to der vandt 60.000 kroner ved den anerkendte hacker-konkurrence Pwn2Own i marts.
Microsoft har givet sårbarheden en 'exploitability index rating' på '3', som er laveste karakter i virksomhedens pointsystem, der bruges til at forudsige sandsynligheden af et pålideligt angreb inden for en periode på 30 dage. Microsoft regner altså ikke med, at det er sandsynligt, at hackere vil udnytte fejlen i løbet af den kommende måned.
"Vi er netop nu i gang med at udvikle en sikkerhedsopdatering til Microsoft, som vil tage hånd om problemet," lover Jerry Bryant, som dog ikke kunne sætte en dato på opdateringen. I mellemtiden kan brugerne i stedet beskytte deres maskiner ved at slå Aero fra.
Slå Aero fra
Angribere vil kunne udnytte fejlen ved at narre brugere til at besøge ondsindede hjemmesider med tilriggede billedfiler, står der i Microsofts vejledning.
Men et angreb vil kræve mere end den slags simple taktikker alene, siger Andrew Storms, der er director of security operations ved nCircle Security.
"Jeg vil mene, at det Microsoft siger (i vejledningen, red.) er, at billedfremvisere fra Microsoft ikke starter fejlen, mens tredjeparts-applikationer kan gøre det."
For at slå Aero fra, skal brugerne trykke på Start, vælge kontrolpanelet og så trykke på 'udseende og personlige egenskaber', fortæller Microsoft i vejledningen. Her kan man skifte temaer, og man skal vælge et af de såkaldte 'enkle temaer'.
Flere rettelser i juni
Denne uges sårbarhed er ikke den eneste, der ligger ulappet hen. I sidste måned ankerkendte Microsoft eksistensen af en fejl i SharePoint Server 2007, som stadig ikke er rettet.
Microsoft vil udsende sikkerhedsopdateringer næste gang 8. juni. Virksomheden vil dog ikke kunne nå at rette fejlen i denne omgang, fortæller Andrew Storm.
"Aldrig i livet," svarer han via IM, da han bliver spurgt til, hvor stor sandsynligheden er for en løsning inden for de næste tre uger.
"De siger allerede nu, at fejlen er svær at reproducere, så den vil ikke blive givet høj prioritet foreløbigt. Men informationerne er ude i offentligheden, så der er helt sikkert folk, der holder et vågent øje med det, og tingene kan hurtigt ændre sig."
Oversat af Marie Dyekjær Eriksen
