V Internet Exploreru nalezena další chyba zero day

Již podruhé za poslední dva měsíce byl Microsofot nucen přiznat zero day zranitelnost v prohlížeči Internet Explorer. Kritickou chybu se již útočníci navíc snaží aktivně zneužívat. Ke vzdálenému spuštění kódu stačí se nechat nalákat na podvodný web.

Sdílet

Útočný kód se naštěstí nedá spustit e-mailem ve formátu HTML, alespoň ve výchozím nastavení e-mailových klientů ne. Útočníci ale samozřejmě mohou do zprávy vložit odkazy a uživatel na ně nesmí kliknout.

Určitou útěchou může pro Microsoft být, že problém se netýká nejnovějšího Internet Exploreru 8 (a paradoxně také MSIE 5, jehož podíl je však již zanedbatelný). Microsoft chybu připustil spolu s posledním vydáním oprav (Záplaty Microsoftu: spor o PowerPoint), firma nicméně nechce zveřejnit podrobnosti. Andrew Storms z e společnosti nCircle Network Security uvedl na americkém Computerworldu, že Microsoft se o chybě zřejmě dozvěděl od některé z bezpečnostních firem. Zranitelnost i probíhající útoky již potvrdily společnosti Symantec a McAfee.

Microsoft neupřesnil, kdy chybu opraví, např. zda tak plánuje už v rámci dubnových aktualizací. Uživatelé Internet Exploreru 6 a 7 se mohou chránit zapnutím obrany DEP (Data Execution Prevention), zákazem skriptování v prohlížeči (kdo si ho naopak povolil i v e-mailu, je zcela bezbranný, viz výše) a změnou přístupových práv ke knihovně iepeers.dll. Vyplatí se samozřejmě webový štít, který by mohl zablokovat přístup na podvodný web. Útok by měl mít menší dopad v Chráněném režimu od Windows Vista výše. Útočník získá k počítači maximálně práva aktuálně přihlášeného uživatele, z čehož opět vyplývá, že je bezpečnější nepoužívat pro běžnou práci účet s nejvyššími oprávněními.

Podrobnosti o chybě přináší Microsoft Security Advisory.

V lednu přiznaná zranitelnost v Internet Exploreru byla zneužita k útoku proti Googlu a dalším firmám. Microsoft byl tehdy nucen vydat záplatu v mimořádném termínu (viz článek zde).

autor Pavel Houser

Další články z rubriky

Související články

Tagy

Internet Explorer · DEP · aktivní skriptování

pridat Linkuj | Jagg | Delicious | Facebook | vybrali.sme.sk

Security World