I går kveld publiserte Microsoft denne sikkerhetsbulletinen, som anbefaler alle Windows-brukere til å oppgradere så fort som mulig for å tette et alvorlig sikkerhetshull: Security Bulletin MS03-008: Flaw in Windows Script Engine Could Allow Code Execution.
Microsoft har oppdaget en usikret buffer i JScript-motoren i Windows 98, 98SE, Me, NT 4.0, 2000 og XP. JScript er Microsofts variant av ECMAScript, også kjent som Javascript.
Denne usikrede bufferen åpner for en type angrep som er kjent fra tidligere: Offeret mottar en html-side med en lenke som inneholder skriptkode beregnet på å utnytte en bestemt sårbarhet. Skriptkoden får bufferen til å renne over, og med riktig utformet kode får angriperen full kontroll over offerets PC.
Html-siden må leveres enten på et nettsted, eller som e-postmelding. Leveres angrepet fra et nettsted, må offeret lures til å klikke på den spesielle lenken. Leveres angrepet som en e-postmelding, er det to mulige forløp. Dersom offeret har oppgradert Outlook eller Outlook Express i tråd med Microsofts anbefalinger fra lang tid tilbake, da de første angrepene av denne typen begynte å komme, kan angrepet bare gjennomføres dersom offeret klikker på den spesielle lenken i meldingen. Dersom man har en eldre eller usikret utgave av Outlook eller Outlook Express, vil den ondsinnede koden kunne kjøres automatisk.
Fiksen til Microsoft endrer JScript-motoren slik at bufferen sikres mot oversvømming. Sikkerhetsoppgraderingene av Outlook bør installeres uansett.
Selv om Microsoft ser på sårbarheten som kritisk, tror ikke sikkerhetseksperter at den vil kunne legge et grunnlag for omfattende angrep med derav følgende distribuerte tjenestenektangrep. Russ Cooper i TruSecure sier til Associated Press at antivirusprogramvare vil raskt oppgraderes til å avsløre e-postskript som utnytter sårbarheten, og at nettsteder som prøver seg som smittespredere raskt vil bli stengt.
