Wczoraj, 30 marca około godziny 20 czasu CET w usłudze Windows Update w sys­te­mach ope­ra­cyj­nych z rodziny systemów Windows ma pojawić się poprawka eli­mi­nu­jąca lukę opisaną w Mi­cro­soft Security Advisory 981374. Ma być to spe­cjalna poprawka za­bez­pie­czeń, wydawana poza harmonogramem.

Po­za­pla­nowe wydanie poprawki jest sprawą naj­wyż­szej wagi, ponieważ luka w bi­blio­tece iepeers.dll pozwala ata­ku­ją­cemu na prze­ję­cie pełnej kontroli nad kom­pu­te­rem z za­in­sta­lo­wa­nym Internet Explo­re­rem w wersjach 6 oraz 7. Jest to trochę spóź­niona poprawka za­bez­pie­czeń, ponieważ dwóch tygodni w Sieci dostępny jest exploit, napisany przez znanego badacza Moszego Ben Abu i wy­mie­rzony w starsze wersje tej przeglądarki.

O luce było wiadomo już w pierw­szym tygodniu marca, mimo tego Mi­cro­so­ftowi nie udało się roz­wią­zać problemu w ramach ostat­nich biu­le­ty­nów bez­pie­czeń­stwa. Izra­el­ski spe­cja­li­sta wydał swojego exploita, trak­tu­jąc go jako sposób na wywarcie presji na firmę Steve’a Ballmera. W zeszłym tygodniu w Sieci pojawiła się nawet ulep­szona wersja exploita bi­blio­teki iepeers.dll.

Prze­glą­darka IE 8 także padła ofiarą spryt­nego ataku podczas konkursu Pwn2Own. Mi­cro­soft wtedy po­in­for­mo­wał, że przy­go­to­wy­wana poprawka eli­mi­nuje po­dat­ność także w Internet Explo­re­rze 8 dzia­ła­ją­cym głównie pod kontrolą Windows 7.

Czyżby zatem naj­now­szy biuletyn bez­pie­czeń­stwa usuwał także i wy­ko­rzy­staną w tym kon­kur­sie lukę? Oby, ponieważ atak z tego konkursu wy­ko­rzy­sty­wany może być w atakach ludzi cał­ko­wi­cie nie­zwią­za­nych z kon­kur­sem hakerskim.

Mi­cro­soft w ostat­nich mie­sią­cach coraz częściej wydaje swoje poprawki poza har­mo­no­gra­mem, czyli „nor­mal­nym cyklem ak­tu­ali­za­cji”. Wygląda na to, że gigant przy­sto­so­wał się już do warunków życia w Sieci, w którym sytuację bez­pie­czeń­stwa IT trzeba mo­ni­to­ro­wać w czasie rze­czy­wi­stym, non-stop.