Redmond (USA) – Alcuni esperti di sicurezza l’hanno definita una delle vulnerabilità di Internet Explorer più gravi degli ultimi mesi. Si tratta di un bug scoperto di recente da SEC Consult , e descritto da Microsoft in questo advisory , che può essere sfruttato a distanza da un cracker per mandare in crash IE o per eseguire del codice.
La più grande minaccia deriva dal fatto che sebbene esista già un exploit pubblico , il buco è ancora senza patch. Nel proprio advisory, aggiornato il primo di luglio, Microsoft si è detta impegnata nell’investigare a fondo il problema: in attesa del rilascio di un fix, il colosso ha raccomandato ai propri utenti di impostare la protezione di sicurezza di IE sul massimo livello ( Opzioni Internet -> Protezione -> Internet -> Livello personalizzato -> Alta ). Nel caso degli utenti aziendali, tale configurazione andrebbe applicata anche all’area “intranet locale”.
In questo avviso di sicurezza FrSIRT ha spiegato che la falla “è causata da un errore nell’oggetto COM javaprxy.dll che, quando attivato in IE attraverso un determinato tag HTML, può essere sfruttata per mezzo di una pagina web per compromettere a prendere il completo controllo di un sistema vulnerabile”. Il problema interessa le versioni 5.01, 5.5 e 6.0 di IE utilizzate in abbinamento alla Microsoft Java Virtual Machine: la presenza di tale componente nel sistema può essere rilevata con questo tool gratuito .
SEC Consult sostiene di aver segnalato per la prima volta la vulnerabilità a Microsoft il 17 giugno, ottenendo un feedback da Microsoft il giorno stesso. Il 29 il big di Redmond ha annunciato alla società di sicurezza di aver completato le verifiche ed aver appurato che il bug non può essere utilizzato per compromettere un sistema. In tutta risposta, SEC Consult ha reso pubblici la vulnerabilità e il relativo exploit proof of concept. Il giorno dopo, 30 giugno, Microsoft ha fatto sapere di essere riuscita a riprodurre la situazione di errore e ha pubblicato, nel contempo, il proprio advisory. La pubblicazione dell’exploit è ora senza dubbio un frutto goloso per molti cracker.
L’avviso pubblicato dal big di Redmond rientra in quel recente piano per la sicurezza che, varato a maggio, prevede la tempestiva notifica agli utenti di problematiche sulla sicurezza particolarmente serie o urgenti.
La recente falla di IE è stata trattata qui anche da Secunia e classificata con un grado di rischio highly critical .
Ti potrebbe interessare
4 lug 2005