"Dziura" w Internet Explorerze

Na przełomie lutego i marca br. trzej studentci politechniki w Worcester w stanie Massachusetts odkryli poważną "dziurę" w bezpieczeństwie przeglądarki WWW Microsoft Internet Explorer, działającej w środowiskach Windows 95 i Windows NT 4.0. Kliknięcie na odpowiednio skonstruowanym odnośniku na stronie WWW może spowodować uruchomienie przez przeglądarkę dowolnego programu znajdującego się na dysku komputera użytkownika - a więc np. sformatowanie dysku - bez jakiegokolwiek sygnalizowania tego faktu i pytania o zgodę!. Wg informacji Microsoftu, taka sama sytuacja dotyczy także odnośników Internetowych umieszczonych w dokumentach tworzonych przy pomocy pakietu Office 97, a także załączników (attachments) do listów w programach Internet Mail i Internet News.

Błąd jest zupełnie niespodziewany: nie ma on nic wspólnego z Javą ani ActiveX, powszechnie uważanymi za główne źródła problemów z bezpieczeństwem. Wiąże się natomiast z jednym z podstawowych mechanizmów Windows 95 - możliwością tworzenia tzw. skrótów do programów i dokumentów. Skróty te przechowywane są w plikach o rozszerzeniach .LNK i .URL; jeżeli taki plik zostanie umieszczony na serwerze WWW, a następnie wczytany do Internet Explorera, nastąpi bez pytania uruchomienie programu, do którego dany skrót prowadzi. Program taki musi wprawdzie znajdować się już na dysku komputera, a skrót musi podawać jego dokładną lokalizację, ale i przy tych ograniczeniach można narobić sporo szkód, posługując się systemowymi plikami Windows 95. Na dodatek okazuje się, że Internet Explorer ma kolejną "nieszczelność", pozwalającą - co zademonstrowali odkrywcy błędu - na zapisanie na dysku, praktycznie bez wiedzy użytkownika, programu "podstawionego" przeglądarce przez serwer WWW, a następnie uruchomienie go...

Opisywany problem dotyczy wersji 2.0, 3.0 i 3.01 Internet Explorera w systemach Windows 95 i Windows NT 4.0. Nie występuje w Windows 3.1 i 3.11 ani w Windows NT 3.51 (co jest zrozumiałe, jako że w tych systemach nie ma skrótów), nie wykazują go również inne przeglądarki WWW dla Windows 95 - np. Netscape Navigator jedynie wyświetla treść groźnych dla Explorera plików.

Microsoft udostępnił na swoim serwerze WWW wersję 3.02 Internet Explorera, poprawiającą ten błąd (przed uruchomieniem każdego programu użytkownik jest proszony o potwierdzenie). Wszyscy użytkownicy przeglądarki Microsoftu powinni koniecznie zainstalować sobie tę wersję - można ją "ściągnąć" jak zwykle spod adresu http://www.microsoft.com/ie/. Oryginalną informację o błędzie (z przykładami jego wykorzystania!) przygotowaną przez studentów z Worcester znaleźć można pod adresem http://www.cybersnot.com/iebug.html, natomiast informacje Microsoftu - pod adresem http://www.microsoft.com/ie/security/update.htm.

Jarosław Rafa 1997. Tekst udostępniony na licencji Creative Commons (uznanie autorstwa - użycie niekomercyjne - bez utworów zależnych). Kliknij tutaj, aby dowiedzieć się, co to oznacza i co możesz z tym tekstem zrobić. W razie jakichkolwiek wątpliwości licencyjnych bądź w celu uzyskania zgody na rozpowszechnianie wykraczające poza warunki licencji proszę o kontakt e-mailem: raj@ap.krakow.pl.

Wersja HTML opracowana 22.04.97.

Powrót do wykazu artykułów o Internecie Statystyka