Krytyczna luka w punkcie zero otwiera Otwory w IE 6 i 7

Nowo odkryte zagrożenie, które nie ma jeszcze żadnej łatki, może pozwolić na atak oparty na sieci Web na aktualnych przeglądarkach Internet Explorer 6 i 7, według firm zajmujących się bezpieczeństwem.

Zarówno Symantec i Vupen Security opublikowali alerty o błędzie, co dotyczy sposobu, w jaki IE obsługuje kaskadowe arkusze stylów lub CSS. Zgodnie z postami przeglądanie witryny sieci Web z osadzonym kodem ataku spowodowałoby atak. Stroną mogłaby być specjalnie stworzona złośliwa strona lub taka, która została przejęta i włożono kod ataku.

Według posta Vupena, usterka dotyczy zarówno IE 6, jak i 7 na całkowicie załatanym komputerze XP SP3 i może pozwolić na uruchomienie dowolne polecenie w systemie narażonym na atak, takie jak instalowanie złośliwego oprogramowania. Nie ma jeszcze raportów o aktywnych atakach, ale kod exploita jest publicznie dostępny.

[Czytaj dalej: Jak usunąć złośliwe oprogramowanie z komputera z Windows]

Post firmy Symantec twierdzi, że testy potwierdzają opublikowane exploity, ale to "wykazuje oznaki słabej niezawodności", tj. to nie zawsze działa. Dodatkowy e-mail od firmy Symantec mówi, że Vista również podlega usterce, ale firma Microsoft jeszcze nie potwierdziła tej luki.

Zero dni, które wpływają na IE, są zazwyczaj głównymi zagrożeniami, więc atakujący prawdopodobnie zaczną ukrywać ataki ukierunkowane na tę lukę. skompromitowanych witryn sieci Web i wypuszczania wiadomości e-mail i komentarzy w Internecie z linkami do witryn zawierających ataki.

Według Vupen wyłączenie aktywnych skryptów w strefach zabezpieczeń internetowych i lokalnych intranetowych zablokuje ataki na tę lukę, ale robiłoby to prawdopodobnie blokuje także funkcjonalność strony internetowej. Raporty bieżące nie wymieniają IE 8 jako wrażliwego, ale Symantec ostrzega, że ​​"istnieją możliwości, że wpłynie to również na inne wersje IE i Windows." Najlepszym rozwiązaniem może być używanie alternatywnej przeglądarki, takiej jak Firefox, aż do udostępnienia łatki.

Aktualizacja (1:55 pm) : Firma Microsoft potwierdziła, że ​​luka dotyczy IE 6 i IE 7, ale nie IE 8. Firma twierdzi, że obecnie nie ma informacji o żadnych istniejących atakach na tę lukę i może zdecydować o wydaniu łatki pozapasmowej po zakończeniu dochodzenia.