W dniu wczorajszym Secunia opublikowała informację o wykryciu błędu w systemach Windows. Odkrywcą luki jest Maurycy Prodeus z iSEC Security Research a uzyskała ona status błędu umiarkowanie krytycznego.

Wynika to z faktu, iż mimo zdalnej możliwości ataku i uzyskania dostępu do systemu potencjalny atakujący musi jeszcze wymusić naciśnięcie klawisza F1 na odpowiednio spreparowanej stronie. Spowodowane jest to błędami w przetwarzaniu funkcji VBScript "MsgBox()".

Ważniejszy jest jednak fakt, iż podatności dotyczą takich systemów jak:

Microsoft Windows 2000 Advanced Server

Microsoft Windows 2000 Datacenter Server

Microsoft Windows 2000 Professional

Microsoft Windows 2000 Server

Microsoft Windows Server 2003 Datacenter Edition

Microsoft Windows Server 2003 Enterprise Edition

Microsoft Windows Server 2003 Standard Edition

Microsoft Windows Server 2003 Web Edition

Microsoft Windows Storage Server 2003

Microsoft Windows XP Home Edition

Microsoft Windows XP Professional

Obecnie nie ma jeszcze poprawki ze strony MS a zlaeca się po prostu nie używanie klawicza F1 w czasie przeglądania stron internetowych.

Więcej na stronach:
Microsoft:
http://www.microsoft.com/technet/security/advisory/981169.mspx
http://blogs.technet.com/msrc/archive/2010/02/28/investigating-a-new-win32hlp-and-internet-explorer-issue.aspx
http://blogs.technet.com/srd/archive/2010/03/01/help-keypress-vulnerability-in-vbscript-enabling-remote-code-execution.aspx

iSEC Security Research:
http://www.isec.pl/vulnerabilities/isec-0027-msgbox-helpfile-ie.txt