Microsofti 180° meelemuutus URI’dega majandamise osas

Ilmselt on enamus arvutihuvilisi kuulnud viimasel ajal palju kõlapinda saanud uudisest, et .pdf faili avamine(või .pdf dokumendis mõnele lingile vajutamine) käivitab Windowsis(Windows XP või Windows Server 2003 + IE7; Vista ei ole ohustatud) soovitud tarkvara.

URI — Uniform Resource Identifier ehk ühtne ressursi-indikaator. Põhimõtteliselt on igal Internetis nähtaval failil oma ainulaadne aadress, meile on tuntud URI alaliik URL.

Kes ei ole, siis parima ülevaate saab sellest YouTube kasutaja gnucitizen´i poolt lisatud video vahendusel. Nagu näha, siis esimese .pdf faili avamise järel avanes automaatselt calc.exe ning teise faili avamise järel notepad.exe. Loomulikult õnnestuks ka muud koodi sedasi avanema panna, avada veebilehitseja ning suunata ta määratud veebilehele, teoreetiliselt tekitada ka puhvri ületäitumist jpm.

Vaatamata selle turvalisust puudutava uudise aktuaalsusele, on paljudele jäänud probleemi olemus natuke arusaamatuks. Kiputakse süüdistama vahelduva eduga Microsofti ja Adobe´t kuni selleni välja, et .pdf failiformaat on vigane. Tegelikkuses on probleem tunduvalt laialdasem. Juba juunis ujus pinnale infot selle kohta, kuidas läbi mõningate programmide sai Windows XP ja Windows Server 2003(R2) keskkonnas, kui paigaldatud on IE7, käivitada ründaja poolt koodi. Palju katsetati Firefoxi ja Skype peal. Firefoxi arendajad muutsid ohtlike URI´dega ringi käimist versioonis 2.0.0.6. Huvilised leiavad rohkem infot Bugzillast bug 389580 alt. Skype lasi 19.09 välja versiooniuuenduse, kus lisaks teistele parandustele remonditi ka jutuksolev probleem nime all “bugfix: Links with invalid % encodings were executed”.

Nüüd jääb justkui mulje, et kõik tarkvaratootjad peale Microsofti on patuoinad. Sedasi see ka pole. Näiteks kui Skype messengeris saadab vestluspartner mingi lingi, siis Skype otsustab, mida sellega edasi teha. Kui see link on näiteks mailto:test%../../../../windows/system32/calc.exe”.cmd siis tunneb Skype ära lingi alguses oleva mailto kui temale tuttava protokolli ning näitab seda tekstirida lingina, millele saab klikata. Ometi ei pea Skype oskama mailto´ga midagi eriti arukat pihta hakata ning sellepärast annab ta selle lingi Windowsi ShellExecute() majandada. IE6 ja Windows XP puhul on sedasi, et ShellExecute() annab selle lingi edasi Internet Explorerile ning viimane annab teada, et link on vigane (kui see oleks olnud näiteks mailto:[e-mail], siis oleks ShellExecute() avanud mailikliendi).

IE7 puhul aga käitutakse teisiti. Seal ShellExecute() püüab URI’t parandada. Ning sealt algavad probleemid. Kui nüüd siiani oli Microsoft näidanud näpuga kolmandate tarkvaratootjate suunas ning olnud suhtumisega, et need muutku oma tarkvara ümberkäimist URI’dega, siis nüüd on Microsoft oma suhtumist äkitselt muutnud ning lisaks teavitavale artiklile lubatakse lähemas tulevikus lausa veaparandust, mis parandab ShellExecute() tööd. Selline äkiline meelemuutus on viinud spekulatsioonideni, et Microsoft on sattunud konflikti Adobega selles küsimuses. Kindel on aga see, et vähemalt kuni veaparanduseni tuleb olla tähelepanelik, millele klikata!