Zero Day Initiative (ZDI) opublikowała właśnie informacje o problemie w zabezpieczeniach oprogramowania firmy McAfee. Otóż krytyczna luka znaleziona w kwietniu 2011 roku jest nadal otwarta.

Luka została znaleziona w bibliotece tego programu myCIOScn.dll. Jedna z metod MyCioScan.Scan.ShowReport () ma tam zaimplementowane niedostateczne filtry wejściowe użytkownika i pozwala na wykonywanie poleceń osadzonych w kontekście przeglądarki.

Do usterki dochodzi w momencie, gdy użytkownik otworzy specjalnie przygotowany plik lub też stronę internetową. Okazuje się, że problem jest bardzo poważny i w dziesięciostopniowej skali oceniany jest na poziomie 9.

ZDI nie podaje jednak o jakie oprogramowanie firmy McAfee chodzi. Chodzi tylko o produkty SaaS, czyli MyCioScan.Scan.ShowReport () do szyfrowania e-maili lub Vulnerability Assessment SaaS, który sprawdza oprogramowanie na występowanie potencjalnych luk w zabezpieczeniach.

Zaleca się obecnie dokonanie odpowiedniej zmiany w rejestrze wyłączającego felerną kontrolkę ActiveX. Należy w kluczu HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Internet Explorer \ ActiveX Compatibility \ 209EBDEE-065C-11D4-A6B8-00C04F0D38B7 dodać wpis "Compatibility Flags" DWORD ustawiony na "0x00000400".

źródło: h-online.com