IE атакует компьютеры пользователей с помощью Windows Media Player

На прошлой неделе компания Microsoft призналась, что уязвимость в Internet Explorer, позволяющая загружать и запускать на исполнение файл без ведома пользователя, действительно существует. Для использования данной уязвимости необходимо, чтобы на компьютере жертвы был установлен Windows Media Player. Запуск исполняемого файла может быть произведен автоматически из почтового сообщения или после нажатия на ссылку на веб-странице. Обнаружившая уязвимость японская компания Little Earth Corporation заявила, что в IE существует возможность "обмануть" систему безопасности, подсунув исполняемый файл под видом звукового или другого неопасного, с точки зрения программы, контента.

Громадные дыры в Internet Explorer - в настоящее время не новость. Интересной в данном случае является политика Microsoft по отношению к данной уязвимости. Компания LAC сообщила об этой дыре софтверному гиганту еще в феврале этого года. В марте Microsoft заявила, что отчет LAC "некорректен", уверив всех, что уязвимости на самом деле не существует.

Однако, в бюллетене безопасности, выпущенном в прошлую среду, Microsoft подтверждает, что браузер Internet Explorer версий 6 и 5.01 подвержен "злонамеренному обману", и поблагодарила LAC за сообщение. В обновленном сообщении японской компании говорится, что уязвимость имеет место при использовании комбинации IE 5.01 или 6.0 и Windows Media Player 6.4. При использовании WMP 7.1 запустить exe-файл не сможет даже непропатченный браузер, но апгрейд медиа-плеера не поможет, в случае наличия установленного Microsoft Office 2000.

Microsoft, несмотря на якобы "чистосердечное признание", кривит душой и в этот раз. В марте компания увильнула от ответа, заявив, что для задействования уязвимости необходимо иметь в системе альтернативный медиа-плеер. На прошлой неделе Microsoft присвоила уязвимости "среднюю" опасность, так как, по заявлению компании "хакер должен знать, что на компьютерах жертв установлены конкретные версии ПО". Это заявление опровергается в LAC, которые намекают на то, что связка IE + WMP 6.4 часто встречается на компьютерах пользователей.