Błąd ten został załatany przez Microsoft we wtorek - usuwał go jeden z patchy, udostępnionych przez koncern w ramach wrześniowego pakietu uaktualnień. Problem nie był wcześniej szerzej znany - wykryła go firma VeriSign, która wszystkie informacje na ten temat przekazała wyłącznie Microsoftowi. Warto też zaznaczyć, że poprawka dla Windows Agent była jedyną uznaną przez Microsoft w tym miesiącu za krytyczną.
Użytkownicy, którzy w ciągu minionych trzech dni nie uaktualnili swoich systemów, powinni zrobić to jak najszybciej - w Sieci pojawił się bowiem już prototypowy exploit, umożliwiający skuteczne zaatakowanie Windows 2000 przez tę lukę. Wykryli go specjaliści z firmy Symantec - w prowadzonym przez koncern serwisie DeepSight pojawiło się ostrzeżenie przez skryptem JavaScript wykorzystującym tę słabość Win2000. Z pierwszych analiz wynika, że wprowadził go do sieci ktoś posługujący się adresem e-mail w brazylijskiej domenie. W związku z pojawieniem się exploita, Symantec podniósł współczynnik oznaczający skalę zagrożenia tej luki w Windows - z 7.1 do 8.5 punktów (w dziesięciostopniowej skali).
Luka w Windows 2000 związana jest z modułem Windows Agent, który odpowiedzialny jest za wyświetlanie niezbyt lubianych przez większość użytkowników (szczególnie zaawansowanych) animowanych postaci oferujących pomoc dla niektórych aplikacji (np. spinacz biurowy znany ze starszych wersji MS Office). Błąd ten umożliwia uruchomienie w systemie niebezpiecznego kodu - aby z niego skorzystać, wystarczy zwabić użytkownika na odpowiednio zmodyfikowaną stronę WWW.
Exploit, który pojawił się właśnie w Sieci, został już zbadany przez specjalistów z IBM Internet Security Systems. Z pierwszych analiz wynika, że jest on sprawny i umożliwia skuteczne zaatakowanie systemu przy minimalnym udziale użytkownika.
Specjaliści zalecają użytkownikom jak najszybsze zainstalowanie udostępnionych przez Microsoft uaktualnień. Jeśli ktoś z jakiegoś powodu nie może lub nie chce tego zrobić, zalecane jest wyłączenie w przeglądarce internetowej obsługi skryptów JavaScript.
Daniel Cieślak
