Kritieke zero-day fout opent gaten in IE 6 en 7

Een nieuw ontdekte bedreiging die nog geen patch heeft, kan volgens beveiligingsbedrijven een op het web gebaseerde aanval op moderne Internet Explorer 6- en 7-browsers mogelijk maken.

Beide Symantec en Vupen Security hebben waarschuwingen over de bug geplaatst, wat inhoudt dat IE met cascading style sheets of CSS omgaat. Volgens de berichten zou het bezoeken van een website met ingesloten aanvalscode de aanval veroorzaken. De site kan een specifiek gemaakte kwaadwillende site zijn of een site die is gehackt en waarop de aanvalscode is ingevoegd.

Volgens Vupen heeft de fout invloed op zowel IE 6 als 7 op een volledig gepatchte XP SP3-computer en kan deze worden uitgevoerd elke opdracht op een kwetsbaar systeem, zoals het installeren van malware. Er zijn nog geen meldingen van actieve aanvallen, maar exploitcode is openbaar beschikbaar.

[Lees meer: ​​Hoe malware van uw Windows-pc te verwijderen]

Het bericht van Symantec zegt dat zijn tests de gepubliceerde exploit werken bevestigen, maar dat het "vertoont tekenen van slechte betrouwbaarheid", dat wil zeggen. het werkt niet altijd. Een extra e-mail van Symantec zegt dat Vista ook wordt getroffen, maar Microsoft heeft het beveiligingslek nog niet bevestigd.

Nuldagen die van invloed zijn op IE zijn meestal grote bedreigingen, dus aanvallers zullen waarschijnlijk aanvallen gaan aanvallen die deze fout aanpakken op gecompromitteerde websites, en het uitspugen van e-mails en online reacties met links naar sites die aanvallen bevatten.

Volgens Vupen zal het uitschakelen van actieve scripts in het internet en lokale intranetbeveiligingszones aanvallen tegen deze fout blokkeren, maar dat zou waarschijnlijk blokkeren website functionaliteit ook. In de huidige rapporten wordt IE 8 niet als kwetsbaar beschouwd, maar Symantec waarschuwt dat "er mogelijk andere versies van IE en Windows kunnen worden beïnvloed." U kunt het beste inzetten om een ​​alternatieve browser zoals Firefox te gebruiken totdat een patch beschikbaar is.

Update (13:55) : Microsoft heeft bevestigd dat het beveiligingslek betrekking heeft op IE 6 en IE 7, maar niet op IE 8. Het bedrijf zegt dat het zich momenteel niet bewust is van bestaande aanvallen op de fout en kan besluiten om een ​​out-of-band-patch vrij te geven als het onderzoek is voltooid.