Microsoft ostrzega przed niezałataną luką bezpieczeństwa w Internet Explorerze 6 i 7, która jest już czynnie wykorzystywana do ataków mających na celu infekowanie trojanami komputerów z Windows.

Problem

Według informacji Microsoftu przyczyną usterki jest nieprawidłowe usuwanie wskaźników, które po użyciu pozostają aktywne. Umożliwia to potencjalnemu napastnikowi uruchomienie przemyconego kodu z uprawnieniami użytkownika. Błąd tkwi w komponencie iepeers.dll. 

Koncern z Redmond obserwuje rozwój sytuacji – podobnie jak w przypadku zgłoszonej na początku zeszłego tygodnia i wciąż nienaprawionej usterki związanej z działaniem klawisza F1 w Internet Explorerze – i nadal bada problem. Po zakończeniu sprawdzenia zostanie podjęta decyzja o ewentualnym wydaniu pozaplanowej łaty. Jako że Internet Explorer 8 jest wolny od błędu, Microsoft zaleca użytkownikom przesiadkę na tę wersję. Ponadto w systemie Windows Vista tryb chroniony Internet Explorera 7 uniemożliwia ponoć wykorzystanie usterki. 

Rozwiązanie

Nie istnieje jeszcze rozwiązanie problemu. Użytkownicy mogą się oczywiście przesiąść na którąś z alternatywnych przeglądarek, np. Firefoksa, Operę, Chrome'a czy Safari – jednak i one coraz częściej wykazują luki, które jednak nie są wykorzystywane na taką skalę jak usterki Internet Explorera. Według analiz w większości wypadków do infekcji komputerów przez Internet dochodzi za pośrednictwem usterek we wtyczkach Readera i Flasha firmy Adobe, toteż wyczulenie na punkcie ochrony samego browsera nie jest już tak istotne jak dawniej.

Obejście

W ramach tymczasowego obejścia problemu Microsoft zaleca ponadto ograniczenie praw dostępu do wadliwego komponentu iepeers.dll. Jak to zrobić, dowiemy się z oryginalnego komunikatu producenta. Taka operacja może jednak sprawić, że niektóre funkcje przestaną działać poprawnie. Zgodnie z komunikatem dodatkową ochronę powinno też zapewnić wyłączenie obsługi aktywnych skryptów i włączenie blokady wykonywania kodu danych (DEP).

Outlook, Outlook Express i Windows Mail domyślnie przetwarzają wiadomości HTML w strefie witryn z ograniczeniami, gdzie obsługa aktywnych skryptów jest wyłączona, zatem w tym wypadku istnieje niewielkie prawdopodobieństwo wykorzystania opisywanej usterki.  

Zobacz także

• Vulnerability in Internet Explorer Could Allow Remote Code Execution, informacja Microsoftu
  
• Exploit Zero Day dla Internet Explorera, heise Security

(pwi)