Świeżo wydany biuletyn MS15-078 usuwa lukę w bibliotece Adobe Type Manager wykorzystywanej we wszystkich wspieranych wersjach Windowsa (w tych niewspieranych zresztą też, po prostu ich użytkownicy nie mogą już liczyć na łatki). Luka ta pozwala na zdalne wykonanie kodu, jeśli użytkownik podatnego systemu odwiedzi specjalnie spreparowaną stronę, na której osadzono czcionkę OpenType, lub otworzy przygotowany przez atakującego dokument.

Czym to się może skończyć? Oczywiście przejęciem pełnej kontroli nad systemem. Szczegółową analizę wykorzystania luki można znaleźć na blogu prowadzonym przez ekspertów z Trend Micro - zob. Hacking Team Leak Uncovers Another Windows Zero-Day, Fixed In Out-Of-Band Patch.

W oczy od razu się rzuca nazwa włoskiej firmy, która niedawno została zhakowana. Przypomnijmy, że Hacking Team od lat tworzy oprogramowanie szpiegowskie dostosowane do potrzeb służb specjalnych różnych krajów. Licencję na takie oprogramowanie zakupiło nawet nasze rodzime CBA. Dzięki danym, które wyciekły z serwerów Hacking Teamu, badaczom udało się namierzyć kilka groźnych luk w multimedialnej wtyczce do przeglądarek Adobe Flash Player, Microsoft też musiał co nieco załatać.

Wiele wskazuje na to, że również tę nową lukę (CVE-2015-2426) odkryto, analizując dane wykradzione od producenta rządowych trojanów. Dokonali tego Moony Li z Trend Micro i Genwei Jiang z FireEye. Na publikowanej przez Microsoft liście podziękowań znajduje się też nazwisko Polaka - Mateusza „j00ru” Jurczyka.

Stali czytelnicy Dziennika Internautów mogą pamiętać, że jest on wicekapitanem drużyny Dragon Sector, która nie ma sobie równych w zawodach CTF. Udziela się też w zespole Google Project Zero, który zajmuje się - a jakże! - wyszukiwaniem luk. Jak przypomina Zaufana Trzecia Strona, Jurczyk prowadził ostatnio intensywne badania nad felerną biblioteką Adobe Type Manager. Do odkrycia luki nie potrzebował więc dokumentów, które wyciekły z Hacking Teamu.

Użytkownikom wszystkich wersji Windowsa sugeruję jak najszybsze zainstalowanie poprawki. Można to zrobić za pośrednictwem Windows Update lub ręcznie (stosowne linki znajdują się w biuletynie).

Zobacz też inne aktualizacje wydane w tym miesiącu:

• Adobe załatał luki ujawnione przy okazji wycieku z Hacking Teamu
• Tym razem Microsoft szybko wyrobił się z poprawkami
• Java - załataj albo wyłącz