Podziel się opinią o serwisie
popularne komentowane nowości

Biblioteka Wiedzy poleca

Office 365 - podręcznik użytkownika

Ta książka pokaże Ci, jak wykorzystać chmurowe przetwarzanie danych - a konkretnie Office 365 - aby robić więcej, współpracować łatwiej i działać...
pobierz »

Jak zwiększyć wydajność infrastruktury serwerowej oszczędzając czas i pieniądze? Nowoczesne rozwiązania serwerowe

Niniejszy dokument ma na celu zaprezentowanie sposobów na poprawę funkcjonowania i efektywności działania infrastruktury serwerowej w firmie lub...
pobierz »

Dlaczego warto korzystać z Office 365?

Jakie funkcje i możliwości Microsoft Office 365 decydują o tym, że warto wybrać to rozwiązanie zamiast tradycyjnego pakietu Office i rozwiązań...
pobierz »

Więcej bezpłatnych raportów w serwisie
powiększ tekst >
AKTUALNOŚCI

IE - kolejna luka "zero-day"

10 marca 2010

securitystandard
Microsoft oficjalnie ostrzegł użytkowników przed atakami wykorzystującymi nieznaną wcześniej lukę w zabezpieczeniach przeglądarki Internet Explorer. Sprawa jest poważna, ponieważ informacje o błędzie zostały już upublicznione, a koncern na razie nie przygotował poprawki rozwiązującej problem.

To już druga luka "zero-day" w IE, wykryta w ostatnich dwóch miesiącach - w połowie stycznia koncern potwierdził, że w IE6 znajduje się luka, która została już w grudniu wykorzystana do zaatakowania m.in. firm Google oraz Adobe. Krótko później błąd został załatany - po kilku dniach od opublikowania pierwotnego alertu Microsoft udostępnił użytkownikom awaryjną (tzn. przygotowaną poza standardowym cyklem uaktualniania) poprawkę dla IE. Przypomnijmy: za lukę "zero-day" uznaje się błąd, który został publicznie ogłoszony zanim producent danej aplikacji zdołał przygotować odpowiednie uaktualnienie.

Tym razem zagrożone są dwie wersje przeglądarki Microsoftu - IE 6 i IE7 (IE 5.1 oraz IE8 nie są podatne na atak). Wiadomo już, że luka ma status błędu krytycznego, co oznacza, że można ona zostać wykorzystana do uruchomienia w systemie złośliwego kodu bez żadnej akcji ze strony użytkownika.

"Odnotowaliśmy już pierwsze próby przeprowadzania ataków za pośrednictwem owego błędu. Wiemy też, że w Sieci pojawiły się szczegółowe informacje na temat tych problemów" - przyznali przedstawiciele koncernu z Redmond.

Wydaje się, że na razie owe ataki nie były skuteczne. "Najwyraźniej nikt nie stworzył i nie opublikował na razie exploita wykorzystującego ów błąd" - komentuje Andrew Storms, szef działu bezpieczeństwa firmy nCircle Network Security. Jego zdaniem luka nie została wykryta przez pracowników Microsoftu - bardziej prawdopodobne jest, iż zgłosił ją koncernowi jeden z partnerów (np. jakaś firma specjalizująca się w bezpieczeństwie) za pośrednictwem programy Microsoft Active Protections Program (MAPP).

Microsoft na razie nie poinformował, kiedy zamierza załatać ów błąd - nie wiadomo więc, czy stosowna poprawka pojawi się dopiero wraz z następnym pakietem poprawek (czyli za miesiąc - bo marcowy zestaw łat został udostępniony wczoraj), czy może raczej firma zdecyduje się na kolejne awaryjne łatanie. Ten drugi scenariusz wydaje się dość prawdopodobny - Microsoft raczej nie zwleka z łataniem błędów, które są już wykorzystywane do atakowania użytkowników.

"Zwykle "pozacyklowa" poprawka pojawia się, jeśli na dany błąd jest już skuteczny exploit. Szczegółowe informacje o błędzie są już opublikowane, jest więc bardzo prawdopodobne, że exploit będzie wkrótce. Ale równie dobrze możemy na niego czekać jeszcze kilka tygodni. Tak więc trudno tu coś prowokować - wszystko zależy od rozwoju sytuacji" - tłumaczy Andrew Storms.

Na razie Microsoft zaleca użytkownikom uaktualnienie Internet Explorera do najnowszej wersji - IE8. Dla użytkowników, którzy z jakiegoś powodu nie chcą lub nie mogą tego zrobić, koncern przygotował zestaw instrukcji (zalecano m.in. wyłączenie obsługi skryptów w IE oraz włączenie w Windows systemu Data Execution Prevention). Szczegółowe instrukcje można znaleźć na stronie Microsoftu.
Wystaw ocenę:
    Średnia ocena (liczba głosów: 2)
wydrukuj wydrukuj wyslij do znajomegowyślij do znajomego

Komentarze

~Gość

  • ocena: brak oceny
  • IP: 85.128.36.194
  • 10-03-2010, 13:10

Również nie są podatne gdy systemem jest: Windows 7 x64 lub
Windows Server 2008 R2 - bez względu na preglądarkę.

~Gość

  • ocena: brak oceny
  • IP: 85.128.36.194
  • 10-03-2010, 13:14

a pozatym IE8 działa w piaskownicy a uprawnienia wszystkiegiego co znajdzie się w tej przeglądarce nie osiąga praw administratora nawet gdy użytkownik lekcewarząco ma takie uprawnienia i to od początku jej istnienia, nie osiąga też szczegółowych praw dających dostęp do róznych krytycznych zasobów naweg gdyby użytkownik przeglądarki miał takie prawa. To tak w standardzie.