Tavis Ormandy egy (legjobb esetben) Windows XP-t és Windows 2003-t érintő távoli kódfuttatásra alkalmas probléma leírását tette közzé tegnap.

A problémát a Windows Help Center HCP protokollkezelőjében található egyik konvertáló függvény helytelen használata okozza, ami XSS-re ad lehetőséget a vezérlő által megjelenített oldalon. A baj az, hogy a HCP-n keresztül betöltött dokumentumok megbízható zónában futnak, így lehetőség nyílik kódfuttatásra JavaScript segítségével.

A hiba kihasználását megnehezíti, hogy egy egyszerű hcp:// hivatkozás megjelenítésekor a protokollkezelőt használó alkalmazások megerősítést kérnek a felhasználótól a folytatáshoz, de ezt a védelmi funkciót is meg lehet kerülni: Ha egy Advanced Stream Redirector (ASX - ezt a formátumot alapesetben a Windows Media Player kezeli le) formátumú fájl HtmlView paraméterének egy olyan weboldalt adunk, amely egy IFRAME-be ágyazva egy hcp:// hivatkozást jelenít meg, nem kapunk figyelmeztetést. 

Látható, hogy a hiba kihasználásához több komponens összejátéka szükséges. A fent említett operációsrendszereken ez az összhang alapértelmezetten biztosított, de elképzelhető, hogy más verziók ill. akár a MS-tól független komponenseket tartalmazó konfigurációk is érintettek. A problémát nem csak böngészőn keresztül, hanem e-mailek, Office dokumentumok, illetve bármely, a Windows beépített protokollkezelőit használó alkalmazás segítségével is ki lehet használni.

Ormandy közzétett több féle áthidaló megoldást is, ezek közül a legegyszerűbb a 

HKCR\HCP\shell\open

kulcs letiltása, de azoknak, akik nem tudják nélkülözni az érintett protokollkezelőt, egy ideiglenes javítás is rendelkezésre áll (az oldal alján, mellékelt szövegek elolvasása után, szigorúan sagát felelősségre használandó!).

Frissítés:

A Secunia szakértői mélyrehatóan megvizsgálták a problémát, és álláspontjuk szerint a Tavis által kidolgozott patch nem nyújt megfelelő védelmet.

Frissítés 2:

A Microsoft is reagált a problémára, szerintük a fent említett két rendszernél újabb Windows változatok nem érintettek. Még ma hivatalos advisory várható, amely részletesen bemutatja a lehetséges elkerülő megoldásokat.