Microsoft анонсировала семь новых секьюрити-поправок для Windows, две из которых относятся к «критическим» уязвимостям операционной системы.

Кроме того, Microsoft предложила инструмент для очистки систем, зараженных эксплойтом Download.Ject. Перед этим компания выпустила инструкции по изменению конфигурации системы с целью предотвращения заражения, но патча пока нет.

Компания Symantec утверждает, что вновь обнаруженные уязвимости несут в себе «высокий риск». «Их можно использовать дистанционно, что открывает путь для атак denial-of-service и может привести к потере конфиденциальных данных, — говорится в заявлении Symantec. — Компания настоятельно рекомендует пользователям немедленно установить исправления для этих уязвимостей».

Два новых исправления, анонсированных во вторник, относятся к наиболее опасным уязвимостям по шкале Microsoft. Компания определяет «критические» ошибки следующим образом: «Уязвимость, эксплуатация которой может привести к распространению интернет-червя без каких-либо действий со стороны пользователя».

Первая критическая ошибка связана с уязвимостью Task Scheduler, вызванной неконтролируемым буфером. Microsoft говорит, что если пользователь вошел в систему с привилегиями администратора, то злоумышленник может полностью перехватить управление, получив возможность устанавливать программы, удалять данные или создавать новые учетные записи со всеми правами.

Согласно Symantec, в сценарии атаки через веб атакующему достаточно создать веб-сайт, содержащий страницу с эксплойтом, и заманить туда пользователя — например, предложив ему кликнуть на ссылке в письме.

Вторая критическая поправка относится к уязвимости, связанной с функциями HTML Help и showHelp. Еще четыре поправки оцениваются как «важные», а последняя — как «умеренная».

Вице-президент Microsoft Майк Нэш анонсировал инструмент для устранения Download.Ject во время своего выступления на международной конференции для партнеров в Торонто. Компания сообщила также, что она раньше срока достигла своей цели — обучила полмиллиона заказчиков и партнеров лучшим способам защиты своих систем. И отметила, что за десять месяцев число пользователей функции автоматического обновления Windows увеличилось в пять раз.

Нэш возглавляет отделение безопасности Microsoft. В интервью, которое он дал в Торонто, Нэш сказал, что компания распределяет свои инвестиции в безопасность по многим направлениям. «Если бы существовала серебряная пуля, мы положились бы на нее, — заверил он. — Но ее нет, поэтому Microsoft работает над несколькими вещами: облегчает потребителям и компаниям обновление своего ПО, совершенствует код и разрабатывает средства выявления и защиты непропатченных машин».

В то же время Нэш признал, что и авторы вредоносного кода не отстают. «Эволюция идет с обеих сторон», — сказал он.