Internet Explorer превращает Firefox в решето

Заметим, что это уже десятая уязвимость в Internet Explorer, обнаруженная за этот год. Правда, данный случай - первый, когда к ошибке приводит наличие в системе браузера Firefox. Некоторые считают, что ошибка стала следствием того, что Microsoft умышленно не заботится о корректной работе сторонних программ, установленных в Windows.

Эксплойт связан с URI (uniform resource identifier) "firefoxurl://", с помощью которого Firefox 2.0 обращается к специализированным веб-ресурсам. Данный URI записывается в регистр Windows. Злоумышленник с помощью Internet Explorer может выполнить команду "ShellExecute" напрямую к файлу Firefox.exe и передать указанный URI-запрос либо без каких-то параметров, либо с заменой ряда параметров собственными. Это позволит ему запустить произвольный сценарий JavaScript и получить с его помощью контроль над системой.

Главная проблема заключается в том, что Internet Explorer не проверяет целостность и корректность ввода команды и ее параметров, поэтому обнаружить попытку взлома и препятствовать ей практически невозможно.

Специалисты по безопасности считают, что угроза может оказаться очень серьезной. Internet Explorer установлен на подавляющем большинстве компьютеров с ОС Windows, так как этот браузер идет в комплекте с системой. Firefox 2.0, появившийся в октябре прошлого года, также успел завоевать солидную аудиторию, которая с каждым днем продолжает расти. Поэтому число систем, где одновременно стоят Internet Explorer и Firefox 2.0, достаточно велико, а, следовательно, велико и количество потенциальных жертв взломщиков.

Представители Mozilla уже отреагировали на сообщение, объявив, что знают об этой уязвимости и работают над необходимой заплаткой. А вот Microsoft хранит молчание, и будет ли компания в ближайшее время затыкать новую дыру в своем браузере – пока неизвестно. Однако способ решить проблему есть уже сейчас, не дожидаясь выхода заплатки. Конечно, можно просто удалить один из браузеров, но существует и более цивилизованный метод. Специалисты фирмы Secunia, занимающейся интернет-безопасностью, считают, что можно избавить себя от угрозы путем удаления URI "firefoxurl://" из регистра Windows.

О том, кто виноват в появлении данной уязвимости - создатели Internet Explorer или Firefox 2.0, - сказать пока трудно. Мнения специалистов разделились, однако большинство из них считает, что в каждом из браузеров хватает ошибок. Microsoft не заботится о проверке запускаемых команд, а Mozilla не учла того, что ее URI может быть модифицирована злоумышленниками. Можно говорить лишь о том, что этот случай станет еще одним поводом для споров между сторонниками каждого из браузеров, которые уже начали обвинять разработчиков конкурирующей программы в халатности.