awender
Súlyos biztonsági hiba a Windows Explorerben
A Greymagic Software által felfedezett biztonsági hiba a Windows 2000 és a Windows ME rendszerekben található Windows Explorer-t érinti.
A Windows Explorer web nézetben bizonyos script-eket figyelmeztetés nélkül elindít. Ehhez elégséges csupán a fájl kijelölése is - még elindítani sem szükséges. A hibában ludas függvénykönyvtár a WEBVW.DLL, mely az Explorer-ben a HTML nézet esetén a fájl jellemzőit olvassa be. Többek között ez a könyvtár képes például Office dokumentumok esetében a mailcímet kiolvasva a szerzőt (Author) az oldalsó sávban megjeleníteni. Sajnos a WEBVW.DLL autorun mezője egy olvasási hiba következtében a csupán megjegyzésként hozzáadott script-eket is mindenféle lelkiismeretfurdalás nélkül végrehajtja.
Nem csak az Office dokumentumok érintettek az ügyben, ugyanis NTFS fájlrendszer alatt bármely fájltípus tartalmazhat Author mezőt és természetesen a hozzá tartozó script-et is. NTFS esetén ezek az adatok nem a fájlban magában tárolódnak, hanem streamként adódnak hozzá a fájlhoz. Abban a pillanatban ahogy egy ilyen fájlnál az Explorer-t webnézetre állítjuk, ügyesen kiolvassa a Stream-ből az Author mezőt és vidáman elindítja a scriptet.
Bizarr módon a Windows 2000 alapértelmezett nézete a webnézet... A hiba nem csak a helyi meghajtókat érinti, hanem bármely csatlakoztatott hálózati meghajtót is. Öröm az ürömben, hogy ilyen esetben csak az Office dokumentumok lehetnek ártalmasak.
Amíg a Microsoft buzgón dolgozik a javításon, magunk is hozzáláthatunk picit foltozni a rendszert. Kapcsoljuk ki a webnézetet a Folder Options alatt. Ez megnyugtató lehet ugyan az otthoni felhasználók számára, azonban vállalati szinten kínos meglepetések elkerülése végett más javallott - ugyanis a beállítás felhasználófüggő. Rendszergazda joggal menjünk a rendszerkönyvtárba és a WEB könyvtárat nevezzük át bármire - mondjuk "te kis hamis"-ra. Ezzel úgymond kasztráltuk a Windows Explorer-be épített webnézetet. A beállítás egyébként nem érinti böngészési szokásainkat, tehát nem kell félnünk attól, hogy ezentúl "nem működik az internet".
A Windows Explorer web nézetben bizonyos script-eket figyelmeztetés nélkül elindít. Ehhez elégséges csupán a fájl kijelölése is - még elindítani sem szükséges. A hibában ludas függvénykönyvtár a WEBVW.DLL, mely az Explorer-ben a HTML nézet esetén a fájl jellemzőit olvassa be. Többek között ez a könyvtár képes például Office dokumentumok esetében a mailcímet kiolvasva a szerzőt (Author) az oldalsó sávban megjeleníteni. Sajnos a WEBVW.DLL autorun mezője egy olvasási hiba következtében a csupán megjegyzésként hozzáadott script-eket is mindenféle lelkiismeretfurdalás nélkül végrehajtja.
Nem csak az Office dokumentumok érintettek az ügyben, ugyanis NTFS fájlrendszer alatt bármely fájltípus tartalmazhat Author mezőt és természetesen a hozzá tartozó script-et is. NTFS esetén ezek az adatok nem a fájlban magában tárolódnak, hanem streamként adódnak hozzá a fájlhoz. Abban a pillanatban ahogy egy ilyen fájlnál az Explorer-t webnézetre állítjuk, ügyesen kiolvassa a Stream-ből az Author mezőt és vidáman elindítja a scriptet.
Bizarr módon a Windows 2000 alapértelmezett nézete a webnézet... A hiba nem csak a helyi meghajtókat érinti, hanem bármely csatlakoztatott hálózati meghajtót is. Öröm az ürömben, hogy ilyen esetben csak az Office dokumentumok lehetnek ártalmasak.
Amíg a Microsoft buzgón dolgozik a javításon, magunk is hozzáláthatunk picit foltozni a rendszert. Kapcsoljuk ki a webnézetet a Folder Options alatt. Ez megnyugtató lehet ugyan az otthoni felhasználók számára, azonban vállalati szinten kínos meglepetések elkerülése végett más javallott - ugyanis a beállítás felhasználófüggő. Rendszergazda joggal menjünk a rendszerkönyvtárba és a WEB könyvtárat nevezzük át bármire - mondjuk "te kis hamis"-ra. Ezzel úgymond kasztráltuk a Windows Explorer-be épített webnézetet. A beállítás egyébként nem érinti böngészési szokásainkat, tehát nem kell félnünk attól, hogy ezentúl "nem működik az internet".