Egyre aggasztóbb az Explorer hibája

A Biztonságportálon korábban már beszámoltunk arról, hogy egy CSS-kezelési sérülékenység folytán a böngésző 6-os és 7-es verziói kiszolgáltatottak lehetnek az internetes támadásokkal szemben. Ezeket az információkat a Microsoft a hétfőn közzétett tájékoztatójában meg is erősítette. A cég szerint a sebezhetőség egyes esetekben lehetőséget biztosíthat a támadók számára, hogy tetszőleges kódokat futtassanak le az érintett rendszereken. A biztonsági rés speciálisan szerkesztett weboldalak révén válhat kihasználhatóvá.

Az Internet Explorer sérülékenységének kockázatát jelentősen növeli, hogy már elérhetők olyan kódok az Interneten, amelyek alkalmasak a hibában rejlő lehetőségek kihasználására. Szerencsére azonban ezek a támadókódok jelenleg meglehetősen bizonytalanul működnek, így még nem képesek kiszolgálni a hekkerek minden igényét. A Microsoftnak még nincs tudomása olyan online támadásról, amelyben az Internet Explorer új biztonsági rése is szerepet játszott volna. Sajnos azonban bármikor elérhetővé válhat egy olyan exploit, amely a sérülékenységet a gyakorlatban is valóban veszélyessé teheti. Az amerikai Computerworld által megkérdezett biztonsági szakértők aggodalmukat fejezték ki egy ilyen kártékony kód megjelenésével kapcsolatban.

Az Internet Explorer CSS-kezelési hibája elvileg egy olyan kód révén is kihasználhatóvá válhat, amely már a Metasploit Frameworkben is helyet kapott, de ez sem működik még teljes mértékben. HD Moore, a Metasploit fejlesztője szerint "maga a biztonsági rés a megbízhatatlan".  Azok a technikák, amelyek révén eddig próbálták a sérülékenységet kihasználni, nem igazán váltak be.

Azt egyelőre nem lehet biztosan tudni, hogy a Microsoft mikor teszi elérhetővé az Internet Explorer hibájának orvosolásához szükséges frissítését. Erre nagy valószínűséggel december 8-án, az év utolsó hibajavító keddjén fog sor kerülni. Addig többek között az Internet Explorer 8-as verziójára való frissítéssel, vagy a JavaScriptek futtatásának - lehetőségek szerinti - letiltásával lehet védekezni.

A hír a Computerworld biztonság rovatában jelent meg.