Internet Explorer’dagi zaiflik Windows tizimlaridan fayllarni o‘g‘irlashga imkon beradi.
Microsoft rejalashtirilmagan yamoqni chiqarish niyatida emas.
Xavfsizlik bo’yicha tadqiqotchi Jon Peyj Microsoft Internet Explorer 11 da Windows tizimlarida fayllarga kirish imkonini beruvchi zaiflikni oshkor qildi. Xato uchun kontseptsiya isboti kodi ham e’lon qilindi. Muammo IE MHT (MHTML Web Archive) fayllarini qanday boshqarishi bilan bog’liq. CTRL+S buyrug’ini kiritishda (veb-sahifani saqlash uchun) brauzer sahifani sukut bo’yicha ushbu formatda saqlaydi. Zamonaviy brauzerlar veb-sahifalarni standart HTML formatida saqlasalar-da, ko’pchilik hali ham MHT ni qo’llab-quvvatlaydi.
Mutaxassisning tushuntirishicha, tajovuzkor zaiflikdan foydalanib, mahalliy fayllarni ajratib olishi mumkin. Buning uchun ular foydalanuvchini aldab, MHT faylini ochishga majbur qilishlari kerak bo’ladi, bu oson, chunki bu formatdagi barcha fayllar sukut bo’yicha Internet Explorerda ochiladi. Hujumning ishlashi uchun jabrlanuvchi shunchaki elektron pochta, tezkor xabar almashish va boshqalar orqali olingan faylni ikki marta bosishi kerak.
Peyjning tushuntirishicha, zaiflik brauzerning CTRL+K, «Chop etishni oldindan ko’rish» va «Chop etish» buyruqlarini qanday ishlashi bilan bog’liq. Uning qo’shimcha qilishicha, jarayonni avtomatlashtirish va foydalanuvchilarning o’zaro ta’sirini bartaraf etish mumkin.
«Window.print() funksiyasiga oddiy chaqiruv yetarli bo’ladi va foydalanuvchining veb-sahifa bilan o’zaro ta’sirini talab qilmaydi», deb yozadi tadqiqotchi. Bundan tashqari, zararli MHT fayli yordamida IE xabarnoma tizimini o’chirib qo’yish mumkin.
Page eng so’nggi xavfsizlik yangilanishlari o’rnatilgan Windows 7, Windows 10 va Windows Server 2012 R2 tizimlarida eksploitni muvaffaqiyatli sinovdan o’tkazdi. Jarayonni namoyish etuvchi video quyida joylashtirilgan.
Mutaxassis Microsoft’ga zaiflik haqida ma’lumot berdi, ammo kompaniya rejadan tashqari yamoqni chiqarishdan bosh tortdi va muammoni “mahsulot yoki xizmatning kelajakdagi versiyasida” hal qilish niyatida ekanligini aytdi.
