Efter CERT-varning tillhandahåller Microsoft AutoRun Fix

Microsoft utmanar en programuppdatering till vissa Windows-användare som fixar ett fel i Windows AutoRun-programvaran, som används för att automatiskt starta program när DVD-skivor eller USB-enheter introduceras till datorn.

Buggfixen, levererad genom Microsofts standardautomatiska uppdateringssystem, kommer en månad efter det att US-CERT-certifieringsgruppen (US-CERT) utfärdat en säkerhetsvarning som varnar för att Windows inte avaktiverade AutoRun på Windows 2000, XP och Server 2003.

"Inaktivera AutoRun på Microsoft Windows-system kan bidra till att förhindra spridning av skadlig kod, säger CERT i dess rådgivande. "Men Microsofts riktlinjer för att inaktivera AutoRun är inte fullt effektiva, vilket kan betraktas som en sårbarhet."

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Microsoft hade sagt att tekniska användare kunde avaktivera AutoRun genom att ställer in ett Windows-registervärde som heter NoDriveTypeAutoRun till 0xFF. Problemet var att även med det här värdet, skulle vissa versioner av Windows starta AutoRun-program när användaren klickade på en enhets ikon med Utforskaren.

Det kan innebära stora problem för vissa användare, eftersom den utbredda Conficker-masken använder AutoRun att sprida sig från USB-enheter till datorer.

Det har skett en intern debatt inom Microsoft om huruvida Windows ska aktivera AutoRun som standard, eftersom programvaran kan missbrukas. AutoRun hjälpte till att installera den ökända Sony rootkit-kopieringsskyddsprogramvaran på användarnas datorer för fyra år sedan.

Även om Microsoft beskriver sin lösning som en icke-säkerhetsuppdatering, har patchen "säkerligen säkerhetsimplikationer", säger Ben Greenbaum, en senior forskningschef med Symantec Security Response. "Det tillåter användare som förväntade sig - med goda skäl - en viss skyddsnivå ut ur funktionen för att verkligen få den skyddsnivån."

Det visar sig att Microsoft faktiskt hade gjort en patch för problemet, vilket Användare kan ladda ner sig, så långt tillbaka som i maj 2008. Det hade också tryckt ut en juli uppdatering som fixade problemet för Vista och Server 2008; men den här åtgärden uppdaterades inte automatiskt för Windows 2000, XP och Server 2003-användare fram till tisdag.