Vanligvis gir Microsoft ut sikkerhetsoppdateringer bare den andre tirsdagen i hver måned, men i kveld, norsk tid, kommer selskapet blant annet med en svært viktig oppdatering til selskapets nettleser, Internet Explorer.
Årsaken til at selskapet har valgt å komme denne oppdateringen så tidlig, skyldes etter alt å dømme at det allerede i morgen blir allment kjent hvordan sikkerhetshull, som anses for å være usedvanlig stort, kan utnyttes.
Under Black Hat-konferansen, som arrangeres denne uken, skal forskerne Mark Dowd, Ryan Smith og David Dewey demonstrere en metode for hvordan man kan omgå killbit-mekanismen som brukes i Internet Explorer for å hindre at skadelige ActiveX-kontroller kjøres.
Alle ActiveX-kontrollere er utstyrt med en global, unik identifikator (GUID), og Microsoft utgir jevnlig svartelister over GUID-ene til kjente, ondsinnede ActiveX-kontrollere.
Teknikken som avsløres i morgen, vil gi ondsinnede hackere en metode for å utnytte ActiveX-problemer, som tidligere har blitt ansett som dempet av killbit-løsningen.
- Dette er digert fordi du kan kjøre kontroller på boksen som ikke er ment å bli kjørt, sier Eric Schultze, teknisk sjef i Shavlik Technologies, til IDG News Service.
Han mener at kriminelle kan gjøre praktisk talt hva de vil med ofre de greier å lokke til å besøke en nettsted som utnytter svakheten i killbit-løsningen.
Ifølge IDG News Service skal Ryan Smith ha varslet Microsoft om problemet for over et år siden.
Smith har lagt ut en video på denne siden som demonstrere hvordan killbit-svakheten kan utnyttes til å starte programvare på brukerens maskin.
Ole Tom Seierstad, sikkerhetssjef i Microsoft Norge, vil ikke kommentere selve sårbarheten, men sier til digi.no at det er en grunn til at Microsoft bryter rutinene med denne utgivelsen.
- Dette er noe vi helst ikke gjør, fordi vi vet at de fleste bedrifter har rutiner og planer på oppgradering til faste tider. Forutsigbarhet er viktig, og når vi bryter dette er det ekstra viktig, sier han.
Rådene denne gang er klare
- Oppdater så fort du har mulighet - uansett om du er privatperson med hjemmedatamaskin eller om du har ansvar for dine kollegers maskiner på jobb, oppfordrer Seierstad.
Han viser til mer informasjon som vil bli gjort tilgjengelig i en webcast i kveld. Den vil bli gjort tilgjengelig på denne siden.
Les også:
- [29.07.2009] Mange må lage ActiveX-kontroller på nytt
- [27.07.2009] Varsler ekstraordinær sikkerhetsfiks til IE
