Újabb súlyos hibát találtak az Internet Explorerben

Pénteken egy ismeretlen hacker feltett egy kódot a Bugtraq levelezőlistára, mely alkalmas az Internet Exploreren keresztül a felhasználó gépének manipulálására.

A kódot azóta már két biztonsági cég is vizsgálja. A Symantec előzetes jelentése szerint a közzétett megoldás nem tökéletes, de egyébként felhasználható arra, hogy az áldozat számítógépére a támadó káros programot telepítsen. A tesztek még folynak, s egyelőre annyit tudnak biztosan kijelenteni, hogy ez a megoldás valószínűleg csak az Internet Explorer régebbi verzióin, a 6-oson, illetve a 7-esen működik, de a teljes leírásra még várni kell. Ezt a megállapítást megerősítette a Vupen Security nevű cég is (ők a Windows XP SP3 futtatásánál mind az IE 6, mind az IE 7 esetében úgy tapasztalták, hogy sikeres a támadó kód), de arról egyelőre egyik sem nyilatkozott, hogy vajon az Internet Explorer 8 esetében okoz-e gondot. Mostanáig arról sincs hír, hogy bűnözők felhasználták-e már ezt a módszert, bár erre – legalábbis ezek után – elég nagy az esély, s mivel az IE 6 és az IE 7 még mindig negyven százalékos részesedéssel rendelkeznek a böngészők piacán, a károkozás komoly mértékű lehet.

A Microsoft következő, szokásos frissítése december 8-án érkezik, de a cég egyelőre nem nyilatkozott az új sebezhetőségről, hogy esetleg szükséges-e az elemzők által kritikus hibának minősített rést rendkívüli frissítéssel foltozni. (A hiba kihasználásához egyébként a mostanában igen elterjedt módszer szükséges: a felhasználót valahogyan el navigálni egy olyan weboldalra, mely már fertőzött, egy rosszindulatú szkriptet tartalmaz – ehhez nem kell különleges, mondjuk felnőtt tartalmakat kínáló oldalra érkezni, az ilyen fertőzött oldalak egy jelentős része rosszul védett, rosszul megírt „normális” weboldal, áruházak, szolgáltatók, sőt állami hivatalok oldalainak ezrei is tartalmaznak ilyen kódokat).

Amíg nem érkezik javítás, addig a Symantec a szokásos teendőket javasolja: a vírusirtó legyen naprakész, a felhasználók kerüljék a gyanús oldalakat, illetve a JavaScript tiltása is ajánlott. (Ebben ugye az a tréfás, hogy azok, akik még mindig az Internet Explorer régebbi verzióit használják, valószínűleg a fenti tanácsok egyikét sem értik, ha egyáltalán eljut hozzájuk az információ.)

Azóta történt

Előzmények