Компания EEye, специалисты которой еще более полугода назад обнаружили критическую уязвимость в Windows, “заплатку” для которой вчера выпустил Microsoft, заявляет о том, что в ПО софтверного гиганта остаются еще семь неисправленных “дыр”, три из которых представляют “высокий” уровень критичности.
Напомним, что последнее исправление от Microsoft устраняет критическую уязвимость в реализации протокола ASN.1, который используется многими приложениями Windows, любое из которых хакер может использовать для взлома системы. С помощью “дыры” в ASN.1 удаленный пользователь может установить контроль над компьютером на базе операционных систем Windows NT, Windows 2000, Windows XP и Windows Server 2003. Если же этот хакер сможет проникнуть в локальную сеть, его задача значительно упростится, подчеркивают специалисты Microsoft. По их словам, на разработку и тестирование “заплатки” для данной уязвимости у них ушло более полугода. Будь вирусописатели попроворнее, за это время в Сети могла разразиться очередная массовая эпидемия, сравнимая по масштабу с нашествием таких червей, как MSBlast, известный также под названием Blaster, и Slammer, отмечают эксперты в области информационной безопасности.
По словам экспертов EЕye, они сообщили Microsoft еще о семи найденных уязвимостях, причем о двух, высокого уровня критичности – еще пять месяцев назад, 10 сентября (с тех пор прошло 94 дня). Отчет о третьей серьезной уязвимости был направлен разработчикам Windows еще через месяц (66 дней назад). На сайте EЕye приводится весь список “дыр”, которые Microsoft еще не успел исправить. Сами уязвимости не описываются, чтобы не провоцировать вирусописателей, приведена лишь степень их критичности и дата, когда отчет о “дыре” был направлен Microsoft.
EEye – одна из многих компаний, работающих в сфере информационной безопасности и сообщающих Microsoft об уязвимостях, найденных в программных продуктах корпорации. Однако немногие эксперты рискуют сообщать широкой публике о том, насколько быстро разработчик реагирует на найденные ими “дыры” – чтобы не вызывать негативной реакции программных вендоров.
