Förklaring av säkerhetsbristen i ATL

Bristen i Active Template Library (ATL) gör att många ActiveX-kontroller kan vara sårbara. Här förklaras sårbarheten och dess konsekvenser i mer detalj.

Bakgrund
Den 28/7 släppte Microsoft två säkerhetsbulletiner och kort därefter publicerade Sitic SR09-130. Microsoft brukar vanligen släppa sina uppdateringar den andra tisdagen i varje ny månad men valde nu att gå ut med dessa uppdateringar innan dess.

Beskrivning av sårbarheten
Active Template Library (ATL) är en komponent till Visual Studio som innehåller hjälpkod och används av väldigt många ActiveX-komponenter. Det är i denna hjälpkod som själva säkerhetsbristen finns och om en ActiveX-komponent kompilerats med en sårbar version av Visual Studio och ATL kan den också innehålla säkerhetsbristerna. För att förhindra att en angripare utnyttjar en sårbar ActiveX-komponent bör alla ActiveX-komponenter som kompilerats med gamla versioner av Visual Studio och ATL kompileras om.

Mer information om ATL hittar ni här:
http://msdn.microsoft.com/en-us/library/3ax346b7(VS.71).aspx

Hur kan jag veta om en ActiveX komponent är sårbar?
Om du använt funktionalitet i ATL i din ActiveX-komponent är den med stor sannolikhet sårbar. Microsoft har publicerat följande guide för att ta reda på om just din ActiveX-komponent är sårbar:

http://msdn.microsoft.com/en-us/ee309358.aspx

Hur kan sårbarheten utnyttjas?
För att utnyttja sårbarheten krävs det att användaren luras att öppna ett html-formaterat e-postmeddelande eller besöka en webbsida med specialskriven kod. Denna kod kommer i sådana fall att köras med samma rättigheter som den inloggade användaren har.

Hur kan jag skydda mig?
I MS09-035 åtgärdas själva säkerhetsproblemen med ATL som fanns i Visual Studio och i MS09-034 har funktionalitet som försvårar utnyttjandet av ATL-baserade sårbarheter lagts till i Internet Explorer. Se till att installera dessa uppdateringar.

I version 8 av Internet Explorer har Microsoft också lagt till DEP/NX minnes skydd som försvårar attacken avsevärt.

Mer information:
http://www.microsoft.com/technet/security/advisory/973882.mspx
http://www.microsoft.com/technet/security/bulletin/ms09-034.mspx
http://www.microsoft.com/technet/security/bulletin/ms09-035.mspx
http://blogs.technet.com/bluehat/archive/2009/07/27/black-hat-usa-atl-killbit-bypass.aspx