Denne 19-årige fejl lekker dit Windows-kodeord

Hackere kan eksternt logge ind på din Windows-pc, få adgang til din Outlook-konto og se dine Skype-meddelelser ved at udnytte en fejl, der har eksisteret siden 1997, som Microsoft ikke har generet at rette op siden da.

Fejlen lækker Microsoft kontonavne og hashed adgangskoder. Det er bedre end at afsløre adgangskoderne i almindelig tekst - hashed-adgangskoder kræver i det mindste en vis indsats for at dechiffrere - men svage adgangskoder kan knækkes om få sekunder. Når det sker, kan angriberen få adgang til hovedsagelig enhver Microsoft-tjeneste, og muligvis endda kunne logge ind på en Windows-pc, der er forbundet med kontoen.

"For at udnytte dette ville en angriber blot oprette en netværksandel. Et integreret billedlink, der peger på netværksandelen, sendes derefter til offeret, for eksempel som en del af en e-mail eller et websted, " hackaday forklarer. "Så snart det prepped-indhold ses i et Microsoft-produkt som Edge / Spartan, Internet Explorer eller Outlook, forsøger denne software at oprette forbindelse til den pågældende del for at downloade billedet."

Det er dårlige nyheder for alle, der har tilknyttet deres konto til Skype, Office, Xbox Live, OneDrive og andre Microsoft-tjenester, der kan gemme personlige data. Men der er nogle gode nyheder: Fejlen påvirker kun personer, der bruger Internet Explorer, den nye Edge-browser eller Outlook til at besøge et kompromitteret websted. Enhver, der bruger en alternativ webbrowser eller e-mail-tjeneste, er allerede sikker.

Perfekt privatliv har oprettet et websted, der kan hjælpe Windows-brugere med at afgøre, om deres Microsoft-kontooplysninger er lækket til verden. (Det advarer også om, at alle, der kører testen, bør ændre deres adgangskoder med det samme, hvis deres legitimationsoplysninger bliver delt. Alt det kræver er, at nogen skal hacke ind på dette websted for at få en masse værdifulde logins.)

Tidligere i denne måned advarede franske National Data Protection Commission, at Windows 10 kompromitterer brugerens privatliv, hvilket betyder, at denne fejl er en anden grund til ikke at bruge Windows 10 uden at være opmærksom på de involverede risici.

Microsoft har ikke kun ladet denne fejl påvirke sine kunder i næsten to årtier - det har også ændret Windows på måder, der gør denne sårbarhed mere ødelæggende. "Tilbage i 1997 ville angriberen kun have fået dine lokale Windows login-data," hackaday skriver. "Men i Windows 10 er standard login-metoden brugerens Microsoft-konto", hvilket betyder, at den nu giver total adgang til andens system.