Microsoft står muligvis over for hårdt patchjob med Windows genvejsfejl
Microsoft kan have svært ved at løse sårbarheden i Windows -genvejen, sagde en sikkerhedsforsker i dag.
En kendt sårbarhedsekspert var imidlertid uenig og sagde, at Microsoft kunne levere en patch inden for to uger.
hvordan fungerer bærbare hotspots
'Den måde, hvorpå Windows' genveje er designet, er fejlbehæftet, og jeg tror, de vil have meget svært ved at lappe dette, 'siger Roel Schouwenberg, en antivirusforsker ved Moskva-baserede Kaspersky Lab.
Schouwenberg baserede sin forudsigelse om, at en patch kan vise sig undvigende, at Microsoft aldrig har stået over for et sikkerhedsproblem med genveje og dermed ikke har nogen sikkerhedsprocesser på plads, som den hurtigt kan justere.
På sin side betragter Microsoft fejlen som en sikkerhedsrisiko og har lovet en opdatering. Fra tirsdag havde den dog ikke fastsat en tidslinje for en løsning.
Microsoft har erkendt, at angribere kan bruge en ondsindet genvejsfil, der er identificeret med '.lnk' -udvidelsen, til automatisk at udføre deres malware ved at få brugerne til at se indholdet i en mappe, der indeholder en misdannet genvej. Risikoen er endnu større, hvis hackere bruger inficerede USB -flashdrev til at sprede deres angrebskode, da sidstnævnte automatisk udføres på de fleste Windows -pc'er, så snart drevet er tilsluttet maskinen.
Alle versioner af Windows er sårbare over for angreb, herunder den netop udgivne beta af Windows 7 Service Pack 1 (SP1) samt den nyligt pensionerede Windows XP SP2 og Windows 2000.
Angribere har udnyttet genvejsfejlen til at få kontrol over vigtige computere hos en kunde hos Siemens, den tyske elektronikgigant. Siemens advarede i sidste uge brugerne om dets Simatic WinCC-styringssoftware om angreb rettet mod store industrielle kontrolsystemer i større fremstillings- og forsyningsselskaber.
Tiden arbejder også mod Microsoft.
'Det kan tage dem et stykke tid at lappe,' sagde Schouwenberg. 'Men den større anvendelse af dette er overhængende.'
Schouwenbergs sidste kommentar gentog andre sikkerhedseksperters mandag, da flere organisationer støttede deres internet -trusselindikatorer i forventning om forestående angreb.
Et andet problem, Microsoft står over for, er, at koden naturligvis er gammel, hvilket gør en hurtig patch meget mere usandsynlig. Sårbarheden findes i Windows helt tilbage til Windows 2000 -udgaven, som Schouwenberg har testet og udnyttet med succes.
hvordan kan jeg få min computer til at køre hurtigere
Schouwenberg sammenlignede kodenes alder med den, som Microsoft blev tvunget til at lappe i WMF (Windows Metafile) billedformat og Windows animerede markør (.ani) filformater, henholdsvis i 2006 og 2007.
I begge disse tilfælde udstedte Microsoft nødopdateringer-kaldet 'out-of-band' eller 'out-of-cycle'-uden for den sædvanlige månedlige plan.
'Jeg er ret overrasket over, at [genvejen] fejl ikke er fundet før af forskere eller af Microsoft,' sagde Schouwenberg. 'Jeg ville have regnet med, at Microsoft ville have fanget dette. Men det faktum, at det er knyttet så tæt til operativsystemet, kan have været et problem. '
Andre forskere bestred Schouwenbergs påstand om, at en patch ville optage Microsoft i lang tid.
'Mit gæt er, at de vil tage fat på dette out-of-band og inden for to uger baseret på bedrifterne i naturen og pressedækningen af Siemens' software hack, 'sagde HD Moore, chefsikkerhedsofficer for Rapid7 og skaberen af det velkendte Metasploit-hackingværktøj, i et e-mail-svar på spørgsmål tirsdag.
En udnyttelse af genvejsfejlen blev føjet til Metasploit mandag, og Moore har justeret den siden. I dag sagde han, at han var i stand til at ændre udnyttelsen til at skabe et ægte drive-by-angreb, hvor Windows-pc'er straks ville blive kompromitteret, hvis deres brugere blev narret til at søge på et ondsindet websted.
'Det er altid muligt, at Microsoft finder en meget smart idé, der vil lade dem lappe dette hurtigt,' sagde Schouwenberg.
Gregg Keizer dækker Microsoft, sikkerhedsspørgsmål, Apple, webbrowsere og generelle teknologibrydende nyheder til Computerworld . Følg Gregg på Twitter kl @gkeizer eller tilmeld dig Greggs RSS -feed. Hans e-mail adresse er gkeizer@ix.netcom.com .