Okazuje się, że aktywnie wykorzystywana luka w bibliotece obsługującej VML, może być groźna nie tylko dla użytkowników IE, ale także dla tych, którzy odbierają pocztę za pomocą programu Outlook. Tymczasem Microsoft ani myśli o szybkim łataniu.

Luka w bibliotece vgx.dll, została wykryta przez firmę Sunbelt i od razu oceniono ją jako krytyczną. Na złośliwy kod, który ją wykorzystuje, można się natknąć przeglądając przede wszystkim strony pornograficzne. Okazuje sie jednak, że nie jest to jedyny sposób, na wykorzystanie luki.

Firma Sunbelt potwierdziła, że możliwe jest dokonanie ataku, poprzez przesłanie do ofiary e-maila w formacie HTML. Wystarczy samo otworzenie takiej zainfekowanej wiadomości, aby złośliwy kod bez wiedzy użytkownika przeniknął na jego komputer. Specjaliści twierdzą, że w pełni zaktualizowana i najnowsza wersja Outlooka jest narażona na ataki.

Firma iDefense również potwierdziła taką możliwość. Jak zauważył jeden z badaczy, Outlook właściwie nie powinien automatycznie renderować dokumentu VML. Wygląda jednak na to, że w niektórych konfiguracjach programu tak właśnie się dzieje.

Oficjalnych doniesień o przeprowadzonych atakach tego typu jeszcze nie było, ale specjaliści z iDefense twierdzą, iż nie jest wykluczone, że już są one przeprowadzane. Aby uniknąć ewentualnych problemów, należy wyłączyć podgląd wiadomości HTML w Outlooku.

Największy spokój w całej sprawie zachowuje Microsoft, który cały czas przymierza się do wydania łatki dopiero 10 października. Oczywiście istnieje możliwość wcześniejszego wydania poprawki, ale jak na razie firma nie zapowiedziała takiego kroku.

Do tej pory gigant z Redmond zdecydował się na wypuszczenie łatki poza harmonogramem, kiedy odkryto groźną lukę w sposobie renderowania plików WMF. Koncern wykazał się też niebywałą szybkością, kiedy wykryto lukę w jego technologii DRM - łatka ukazała się już po kilku dniach.