Компания Microsoft выпустила новый бюллетень безопасности, в котором предупреждает об обнаружении критической дыры, свойственной всем, без исключения, версиям набора программных интерфейсов DirectX, начиная с DirectX 5.2, поставлявшегося с ОС Windows 98, и заканчивая появившимся в конце прошлого года DirectX 9. Напомним, что DirectX представляет собой набор низкоуровневых программных интерфейсов, обеспечивающих прямое взаимодействие программ с аппаратной частью компьютера. DirectX широко используется в игровых и мультимедийных программах.

Новая дыра связана с возможностью переполнения двух буферов в модуле DirectShow. Для того чтобы вызвать переполнение, достаточно открыть особым образом составленный аудиофайл в формате MIDI. Вызвав ошибку, хакер получает возможность выполнить на компьютере произвольный код. Чтобы использовать уязвимость, хакер должен добиться открытия вредоносного MIDI-файла. Для этого файл можно разместить на сетевом диске, прислать по электронной почте, передать на дискете или компакт-диске и т.д.

Кроме того, можно встроить MIDI-файл в веб-страницу и заманить на нее пользователя или внедрить файл в электронное письмо в формате HTML. В этом случае вредоносная MIDI-последовательность будет обработана автоматически. В ОС Windows Server 2003 такой сценарий невозможен при установках браузера по умолчанию, поскольку режим повышенной безопасности браузера подразумевает отключение воспроизведения внедренной музыки. Поэтому для Windows Server 2003 уязвимости присвоен рейтинг важной, а не критической.

Начиная с 1998 года, Microsoft выпустила несколько версий DirectX и Windows, и сочетания между различными версиями этих продуктов возможны самые разнообразные. Чтобы сократить время на разработку и тестирование патчей, в Microsoft выпустили единый патч только для DirectX 9. Дыры в остальных версиях DirectX можно устранить только в их "родных" операционных системах. Для DirectX 8.1 это Windows XP и Windows Server 2003, для DirectX 7 - Windows 2000. Для Windows 98, 98SE и Me был выпущен единый патч, ликвидирующий дыры в DirectX 5.2, 6 и 7. В случае Windows NT 4 дыра заносится в систему после установки Windows Media Player 6.4 или сервис-пака для Internet Explorer 6. Соответствующие заплатки также уже выпущены.