Javítócsomag nélküli „zéró napi” sebezhetőség az Internet Explorerben

Alig egy héttel a “Patch kedd” után a Qihoo 360 internetes biztonsági cég egy újabb sebezhetőséget fedezett fel az Internet Explorerben (IE), ezúttal a jscript.dll szkriptmozgató program távoli kódfuttatást lehetővé tevő biztonsági résének köszönhetően. A CVE-2020-0674 jelű biztonsági rést az IE 11 kritikusnak, az IE 9 és az IE 10 esetében mérsékeltnek tekintik.

Ez a sebezhetőség lehetővé teszi a támadók számára, hogy megsérthessék az IE memóriáját, és tetszőleges kódokat futtassanak a felhasználói oldalon. Egyszerűen fogalmazva, ez azt jelenti, hogy a támadó eltérítheti az aktuális felhasználó jogosultságait és ha az aktuális felhasználó be van jelentkezve adminisztratív felhasználói jogokkal, ez valós katasztrófát okozhat. Amint a támadó átveszi az irányítást a gép felett programokat telepíthet, adatokat manipulálhat, vagy akár fiókokat hozhat létre teljes felhasználói jogosultságokkal. Ezt a hiba szülhet még komolyabb problémát is az áldozatok átverésével, hogy egy olyan webhely felkeresésére buzdítja őket, amely kifejezetten a biztonsági rés kihasználására kialakított tartalmat tárolja.

A Microsoft szerencsére megoldást is kínál a hiba, a biztonsági rés kiküszöbölésére. Megjelent az ADV200001 biztonsági leírás, amely tartalmazza az adminisztrációs parancsok használatát a szkriptkönyvtár elérésének korlátozására. A megoldások a következők:

takeown /f %windir%\system32\jscript.dll
cacls %windir%\system32\jscript.dll /E /P everyone:N

takeown /f %windir%\syswow64\jscript.dll
cacls %windir%\syswow64\jscript.dll /E /P everyone:N
takeown /f %windir%\system32\jscript.dll
cacls %windir%\system32\jscript.dll /E /P everyone:N

A megoldás nem végleges, hiszen ezen megoldások végrehajtása ronthatja a jscript.dll-re támaszkodó komponensek vagy funkciók működését.

A “Zero-day” sérülékenység javítása várhatóan a következő Patch 2020 napon (februári kedden) jelenik meg. Indoklásul, hogy a Microsoft miért nem törekszik a javítás azonnali kiadására, valószínűleg abban keresendő, hogy az IE összes támogatott verziója alapértelmezés szerint a Jscrip9.dll fájlt használja, amely nem hajlamos erre a hibára. A hiba azonban a Windows 7-en futó IE verziókra vonatkozik, amely viszont 2020. január 14-én további biztonsági támogatás nélkül megszűnt, ám továbbá igény szerint a kibővített biztonsági frissítésekkel, az arra előfizetettek számára, elérhetővé teszi (ESU).

Szerencsére nem tudunk nagyszámú visszaélésről e sebezhetőség tekintetében ezidáig. A megoldás nyomon követése, valamint a komponensek javítása után is védeni kell a felhasználókat, ezért egy esetleges felhasználói visszaállítás után ne feledjük el újra telepíteni a javítást.