Czy Internet Explorer wycieka poufne informacje?

korzystasz z przeglądarki Internet Explorer? Jeśli tak, mam nadzieję, że już wcześniej wprowadziłeś aktualizacje z Patch Tuesday na początku tego tygodnia. Ale nawet jeśli to zrobiłeś, wydaje się, że Twoja przeglądarka wciąż może być podatna na potencjalnie poważny problem.

Spider.io, firma pomagająca klientom odróżnić rzeczywistych użytkowników witryny od zautomatyzowanej aktywności botów, twierdzi, że odkryła luka, która wpływa na Internet Explorera, aktualną flagową przeglądarkę Microsoftu, wersje od 6 do 10. Podatność podobno pozwala na śledzenie pozycji kursora myszy w dowolnym miejscu na ekranie - nawet jeśli IE jest zminimalizowane.

Spider.io ujawnił luka w zabezpieczeniach firmy Microsoft w dniu 1 października 2012 r., ale nie została rozwiązana w najnowszej aktualizacji zabezpieczeń dla programu Internet Explorer. Spider.io twierdzi, że luka jest aktywnie wykorzystywana i twierdzi, że Microsoft Security Research Center (MSRC) uznało tę lukę, ale nie ma natychmiastowego planu jej aktualizacji.

[Czytaj dalej: Jak usunąć złośliwe oprogramowanie z twojego Windowsa PC]

Błąd w IE może wyciekać potencjalnie poufnych informacji

Poprosiłem Microsoft o stanowisko w sprawie rzekomej luki w zabezpieczeniach. Rzecznik przesłał mi tę oficjalną odpowiedź: "Obecnie badamy ten problem, ale do chwili obecnej nie ma raportów o aktywnych exploitach lub klientach, na które negatywnie wpłynęło. Dostarczymy dodatkowe informacje, gdy tylko będą dostępne i podejmiemy odpowiednie działania w celu ochrony naszych klientów. "

Jason Miller, kierownik ds. Badań i rozwoju w VMware, pyta, czy problem jest" błędem "czy" funkcją ". "Można by się zastanowić, czy jest to usterka lub funkcja wprowadzona do przeglądarki, aby pomóc w ustaleniu wskaźników użycia. Niezależnie od tego, naukowcy udowodnili, że ten "problem" może być wykorzystywany złośliwie. "

Rozmawiałem z Qualys CTO Wolfgangiem Kandkiem. Wyraził obawy dotyczące konsekwencji, jakie taka luka może mieć dla bankowości internetowej. Wiele banków wdrożyło na ekranie wirtualne klawiatury do wprowadzania danych uwierzytelniających konto, aby uniknąć tradycyjnych ataków z użyciem keyloggera.

Andrew Storms, dyrektor ds. Operacji bezpieczeństwa dla nCircle, zgadza się z tym. "Ten exploit sprawia, że ​​złagodzenie jest nieważne - ma efekt rejestrowania kluczy na wirtualnych klawiaturach. Atakujący mogą potencjalnie przechwycić kliknięcia związane z danymi bankowymi za pomocą tego exploita, co nie jest dobrą wiadomością dla 63 milionów Amerykanów korzystających z bankowości internetowej. "

Alex Horan, starszy menedżer produktu w CORE Security, dodaje, że rzekomo" bezpieczne "strony internetowe może nie być tak bezpieczny. "To również potwierdza, że ​​tylko dlatego, że odwiedzasz YouTube lub New York Times nie oznacza, że ​​wszystkie treści w tej witrynie są przez nich własnością lub są przez nie zarządzane - wyświetlanie złośliwych reklam w zaufanych witrynach głównego nurtu to świetny sposób na ujawnienie ataku duża liczba użytkowników. "

Horan sugeruje porzucenie IE do czasu, aż problem zostanie załatany przez Microsoft.

Storms mówi:" Jeśli ta luka zostanie potwierdzona, może wymagać łaty pozapasmowej i to jest coś, co każdy chciałby uniknąć w tym sezonie świątecznym. "