Gyorsjavítás az Internet Explorer 0-day sebezhetőségére
Néhány nappal a hiba napvilágra kerülése után gyorsjavítást adott ki az Internet Explorer foltozatlan, már támadott sebezhetőségére a Microsoft.
A hét végén derül fény egy 0-day, azaz javítatlan sebezhetőséget kihasználó támadásra, amely az Internet Explorer összes támogatott verzióját érintette - a Windows 8-cal együtt terjesztett IE10-ben a sérülékenység nincs jelen, azonban a korábbi változatokban (6, 7, 8, 9) kivétel nélkül megtalálható. Bár a Microsoft szerint csak kevés számú célzott támadást észleltek, a sebezhetőség szinte azonnal bekerült a bárki számára elérhető Metasploit keretrendszerbe, amely segítségével mindenki indíthat erre épülő támadásokat tetszőleges gép ellen.
A vállalat tudomására jutott támadások mindegyike a böngésző 32 bites verzióját vette célba és egy külső gyártótól származó beépülőt használt arra, hogy "heap sprayt" hajtson végre, vagyis a PC memóriájába juttassa a támadó kódot és/vagy megkerülje a Windows Vistában és Windows 7-ben már jelen levő DEP és ASLR védelmet - derül ki a Microsoft Security Research & Defense blogból, amely részletesen tárgyalja a sebezhetőséget, amellyel a Buherablog is többször foglalkozott. Ínyencek egészen mélyreható elemzést olvashatna a hibáról angolul a Vulhunt blogban.
"A hiba akkor keletkezik, mikor a támadó az MSHTML modul execCommand() metódusával kiválasztja egy weboldal tartalmat, és regisztrál egy kezelő függvényt az "onselect" eseményre. Ilyenkor felszabadításra kerül egy objektum, melyet a modul rögtön meg is hivatkozik, így egy klasszikus use-after-free szituáció áll elő" - írja a sérülékenységről a Buherablog. Az IT-biztonsági blog szerint a sebezhetőséget a Java 6-ra támaszkodva használták ki a támadók, a Java 7-re történő frissítés, vagy a plugin letiltása tehát blokkolja ezeket a támadásokat, azonban a sérülékenység más módon is kiaknázható, így a Java futtatókörnyezet tiltása vagy cseréje önmagában nem nyújt védelmet.
Nem csak ezt javítja pénteken a Microsoft
A támadások sikerességét megnehezítheti az Enhanced Mitigation Experience Toolkit (EMET), ennek használata azonban a tapasztalatok szerint érezhetően lecsökkenti a böngésző sebességét, ráadásul nem minden felhasználónak van jogosultsága a telepítésre. A Microsoft által most kiadott gyorsjavítás ("FixIt") nem okoz sebességproblémákat és a böngésző viselkedését sem módosítja, egyetlen kattintással telepíthető és újraindítást sem igényel. Mindenkinek feltétlen ajánlott a telepítése, aki az Internet Explorer valamely érintett változatát használja.
Machine recruiting: nem biztos, hogy szeretni fogod Az AI visszafordíthatatlanul beépült a toborzás folyamatába.
A redmondi cég azt ígéri, szeptember 21-én, azaz pénteken magyar idő szerint délután érkezik egy nagyobb frissítés az Internet Explorerhez, amelynek már a végleges patch is a részét képezi. Ez a Windows Update-en és a többi megszokott csatornán jut el a felhasználókhoz, ha valaki engedélyezte az automatikus frissítéseket, nincs további teendője, mivel a javítás automatikusan települni fog. Ebben a frissítésben további négy kritikus sebezhetőséget is javít a cég, olvasható a Microsoft Security Response Center blogban.
Az IE sebezhetőségre kiadott gyorsjavítás erről a linkről tölthető le.