Szerző: Bodnár Ádám

2012. szeptember 20. 12:53

Gyorsjavítás az Internet Explorer 0-day sebezhetőségére

Néhány nappal a hiba napvilágra kerülése után gyorsjavítást adott ki az Internet Explorer foltozatlan, már támadott sebezhetőségére a Microsoft.

A hét végén derül fény egy 0-day, azaz javítatlan sebezhetőséget kihasználó támadásra, amely az Internet Explorer összes támogatott verzióját érintette - a Windows 8-cal együtt terjesztett IE10-ben a sérülékenység nincs jelen, azonban a korábbi változatokban (6, 7, 8, 9) kivétel nélkül megtalálható. Bár a Microsoft szerint csak kevés számú célzott támadást észleltek, a sebezhetőség szinte azonnal bekerült a bárki számára elérhető Metasploit keretrendszerbe, amely segítségével mindenki indíthat erre épülő támadásokat tetszőleges gép ellen.

A vállalat tudomására jutott támadások mindegyike a böngésző 32 bites verzióját vette célba és egy külső gyártótól származó beépülőt használt arra, hogy "heap sprayt" hajtson végre, vagyis a PC memóriájába juttassa a támadó kódot és/vagy megkerülje a Windows Vistában és Windows 7-ben már jelen levő DEP és ASLR védelmet - derül ki a Microsoft Security Research & Defense blogból, amely részletesen tárgyalja a sebezhetőséget, amellyel a Buherablog is többször foglalkozott. Ínyencek egészen mélyreható elemzést olvashatna a hibáról angolul a Vulhunt blogban.

"A hiba akkor keletkezik, mikor a támadó az MSHTML modul execCommand() metódusával kiválasztja egy weboldal tartalmat, és regisztrál egy kezelő függvényt az "onselect" eseményre. Ilyenkor felszabadításra kerül egy objektum, melyet a modul rögtön meg is hivatkozik, így egy klasszikus use-after-free szituáció áll elő" - írja a sérülékenységről a Buherablog. Az IT-biztonsági blog szerint  a sebezhetőséget a Java 6-ra támaszkodva használták ki a támadók, a Java 7-re történő frissítés, vagy a plugin letiltása tehát blokkolja ezeket a támadásokat, azonban a sérülékenység más módon is kiaknázható, így a Java futtatókörnyezet tiltása vagy cseréje önmagában nem nyújt védelmet.

Nem csak ezt javítja pénteken a Microsoft

A támadások sikerességét megnehezítheti az Enhanced Mitigation Experience Toolkit (EMET), ennek használata azonban a tapasztalatok szerint érezhetően lecsökkenti a böngésző sebességét, ráadásul nem minden felhasználónak van jogosultsága a telepítésre. A Microsoft által most kiadott gyorsjavítás ("FixIt") nem okoz sebességproblémákat és a böngésző viselkedését sem módosítja, egyetlen kattintással telepíthető és újraindítást sem igényel. Mindenkinek feltétlen ajánlott a telepítése, aki az Internet Explorer valamely érintett változatát használja.

Toxikus vezetők szivárványa

Az IT munkakörülményeket, a munkahelyi kultúrát alapjaiban határozzák meg a vezetők, főleg ha még toxikusak is.

Toxikus vezetők szivárványa Az IT munkakörülményeket, a munkahelyi kultúrát alapjaiban határozzák meg a vezetők, főleg ha még toxikusak is.

A redmondi cég azt ígéri, szeptember 21-én, azaz pénteken magyar idő szerint délután érkezik egy nagyobb frissítés az Internet Explorerhez, amelynek már a végleges patch is a részét képezi. Ez a Windows Update-en és a többi megszokott csatornán jut el a felhasználókhoz, ha valaki engedélyezte az automatikus frissítéseket, nincs további teendője, mivel a javítás automatikusan települni fog. Ebben a frissítésben további négy kritikus sebezhetőséget is javít a cég, olvasható a Microsoft Security Response Center blogban.

Az IE sebezhetőségre kiadott gyorsjavítás erről a linkről tölthető le.

Nagyon széles az a skála, amin az állásinterjú visszajelzések tartalmi minősége mozog: túl rövid, túl hosszú, semmitmondó, értelmetlen vagy semmi. A friss heti kraftie hírlevélben ezt jártuk körül. Ha tetszett a cikk, iratkozz fel, és minden héten elküldjük emailben a legfrissebbet!

a címlapról