Корпорация Microsoft сообщила о новой серьезной уязвимости почти во всех ОС Windows, связанной с технологией DirectX – набором библиотек и интерфейсов, используемых мультимедийными приложениями и компьютерными играми на платформе Windows. Уязвимости подвержены все версии DirectX – от DirectX 5.2, который появился в Windows 98, и до самой новой DirectX 9.0а, поставляемой с Windows Server 2003. Воспользовавшись новой «дырой», хакер получает возможность исполнить любой, в том числе и вредоносный, код на атакуемой машине.

Microsoft присвоил новой «дыре» статус «критической», что по классификации компании означает самую высокую степень угрозы безопасности, и призвал всех пользователей как можно скорее скачать бесплатную «заплатку» для исправления этой проблемы с корпоративного сайта. Новая уязвимость использует механизм, который DirectX применяет для обработки музыкальных файлов в формате MIDI.

Вредоносный MIDI-файл вызывает переполнение буфера в интегрированном компоненте DirectShow мультимедийного слоя DirectX Media, который выполняет функции воспроизведения потоков аудио и видео в различных форматах. Далее исполняется вредоносный код, встроенный в MIDI-файл. Хакеру лишь нужно, чтобы пользователь открыл вредоносный файл, посланный по почте или размещенный в Сети. Однако стандартные настройки безопасности последних версий почтовой программы Microsoft Outlook и браузера Internet Explorer запрещают автоматический запуск подобных файлов, особенно в новой ОС Windows Server 2003 с повышенными стандартами безопасности. Для этой операционной системы найденная «дыра» получила более низкий статус - «важной». Напомним, что это уже вторая по счету уязвимость, обнаруженная в самой новой серверной операционной системе Windows Server 2003 - самой надежной и безопасной в семействе серверных ОС Windows, по словам разработчиков.

Новая «дыра» в Windows была обнаружена специалистами компании eEye Security. По словам представителей Microsoft, пока не было зарегистрировано случаев хакерских атак с использованием новой уязвимости, однако, подчеркивают специалисты, это не повод медлить с установкой «заплатки».

Microsoft также выпустил совокупную «заплатку» - которой был присвоен статус «важной» - для исправления новых и ранее уже известных уязвимостей в SQL Server 7.0, SQL Server 2000, MSDE 1.0 и MSDE 2000, и еще один патч, со статусом «умеренной» угрозы безопасности, исправляющий «дыру» в серверной версии Windows NT 4.0. Хакер может использовать одну из функций файлового менеджера этой системы для проведения DoS-атаки («Отказ в обслуживании»).