Vídeo no Windows XP permite invasão

A Microsoft alertou hoje para uma vulnerabilidade em um componente do DirectShow que pode ser usada para tomar o controle do PC afetado caso o usuário visite um site malicioso.

De acordo com um post no blog do Microsoft Security Response Center o número de ataques que exploram esta falha, que afeta o Windows XP e o Windows Server 2003, ainda é limitado.

O componente afetado pela falha, chamado Microsoft Video Control, é um controle ActiveX que conecta os filtros do DirectShow usados para captura, gravação e reprodução de vídeo. Este controle ActiveX é um dos principais componentes usados pelo Windows Media Center para gravação e reprodução de programas de TV.

Ao visualizar um vídeo hospedado em um site malicioso usando o IE, o controle ActiveX pode corromper o sistema operacional para permitir a execução de códigos maliciosos. Se o usuário estiver logado como administrador, o atacante pode tomar o controle completo do sistema operacional.

Esta é a segunda falha de segurança no DirectShow anunciada pela Microsoft nos últimos meses. A empresa ainda não lançou uma correção para a falha anunciada em maio, que envolve a forma como o DirectX lida com arquivos do QuickTime.

Como esta nova falha ainda não possui uma correção, a Microsoft recomenda que os usuários utilizem uma solução temporária publicada em sua Base de Conhecimento.

Mesmo com a falha não afetando o Windows Vista e o Windows Server 2008, a Microsoft recomenda que os usuários destes sistemas operacionais também apliquem a solução temporária.

Lista de sistemas operacionais afetados pela falha:

Windows XP SP2 e Windows XP SP3

Windows XP Professional x64 Edition SP2

Windows Server 2003 SP2

Windows Server 2003 x64 Edition SP2

Windows Server 2003 com SP2 para sistemas Itanium (IA64)

Na fonte da notícia há a explicação de como aplicar a solução temporária.