Microsoft wydał zaktualizowaną wersję Paint, aby rozwiązać krytyczną lukę bezpieczeństwa, ocenioną na 8.1 w skali 10, która mogła pozwolić atakującym na wykonanie własnego kodu na komputerze użytkownika. Według firmy lukę można wykorzystać zdalnie przez sieć bez wymogu uwierzytelniania ani interakcji użytkownika.

Jak podkreślono w Coin Bureau, Microsoft po raz pierwszy załatł lukę w Paint w październiku, a następnie wydał w piątek kolejną wersję, aby kompleksowo rozwiązać problem. Firma obecnie wskazuje, że luka nie była dotąd wykorzystywana.

Microsoft wydaje kolejną aktualizację bezpieczeństwa dla Paint

Luka ma ocenę surowości 8.1 w skali 10, co klasyfikuje ją jako krytyczną. Zgłoszone warunki ataku są szczególnie godne uwagi, ponieważ wykorzystanie luki nie wymaga od atakującego uwierzytelnienia ani nakłonienia użytkownika do interakcji ze złośliwym monitem.

Ta kombinacja ma istotne znaczenie w praktyce: luki, które można wywołać przez sieć bez poświadczeń i bez działania użytkownika, eliminują dwie z najczęstszych barier ograniczających ataki — dlatego problemy możliwe do wykorzystania zdalnie w powszechnie instalowanym oprogramowaniu są zazwyczaj traktowane jako pilny priorytet łatania. Ponieważ Paint jest dostarczany z Windows, dotknięta aplikacja znajduje się na komputerach w środowiskach domowych, szkolnych i firmowych, a nie tylko u użytkowników, którzy dobrowolnie zainstalowali dodatkowe oprogramowanie.

Microsoft oświadczył, że luka mogła zostać wykorzystana przez sieć. Firma określiła również, że nie jest wymagane uwierzytelnianie ani interakcja użytkownika, co oznacza, że atakujący niekoniecznie potrzebowałby bezpośredniego dostępu do docelowego komputera ani pomocy jego użytkownika, aby wykorzystać lukę.

Microsoft początkowo rozwiązał problem, wydając łatkę w październiku. Jednak firma następnie wydała w piątek nową wersję Paint, opisując aktualizację jako próbę "kompleksowego rozwiązania" luki.

Pomimo oceny surowości Microsoft wskazuje, że luka nie była dotąd wykorzystywana. To rozróżnienie jest ważne: luka została oceniona jako krytyczna, ale wykaz firmy nie wskazuje, że atakujący wykorzystali ją w praktyce. Ten status odzwierciedla wykaz Microsoftu w momencie publikacji, więc każda jego zmiana będzie kluczową informacją do obserwacji, w miarę jak łatana wersja będzie dalej wdrażana.

Jak sprawdzić wersję Microsoft Paint

Microsoft Paint jest dołączany do Windows od 1985 roku, co czyni go jedną z najdłużej działających aplikacji systemu operacyjnego. Problem bezpieczeństwa dotyczy zatem znanego narzędzia Windows, dostępnego dla użytkowników od dziesięcioleci.

Aby pozostać chronionym, użytkownikom zaleca się zaktualizowanie Paint przez Microsoft Store i sprawdzenie, czy zainstalowana aplikacja działa w wersji 11.2609.401.0. Zalecany numer wersji stanowi dla użytkowników konkretny punkt odniesienia przy sprawdzaniu, czy zainstalowali aktualizację. Ponieważ aplikacje ze sklepu, takie jak Paint, są aktualizowane niezależnie od regularnych aktualizacji systemowych Windows, sprawdzenie wersji samej aplikacji jest niezawodnym sposobem potwierdzenia, że poprawka dotarła na dany komputer.

Najnowsze wydanie Microsoftu następuje po wcześniejszej październikowej łatce i ma na celu kompleksowe rozwiązanie zgłoszonej luki bezpieczeństwa.

Źródło: Hokanews. Tekst: Victoria Hale, dziennikarkka zajmująca się technologią i blockchainem.