Kriittinen nollapäivän virhe avaa aukot IE 6: ssa ja 7: ssä

Hiljattain löydetty uhka, jolla ei vielä ole mitään korjaustiedostoa, voi mahdollistaa verkkopohjaisen hyökkäyksen turvallisuusalan yritysten mukaan päivitettyihin Internet Explorer 6- ja 7-selaimiin.

Sekä Symantec ja Vupen Security ovat lähettäneet hälytyksiä bugista, johon liittyy tapa, jolla IE hoitaa CSS-tyyppisivut tai CSS. Viestien mukaan selaaminen verkkosivustolla, jossa sulautettu hyökkäyskoodi laukaisi hyökkäyksen. Sivusto voisi olla nimenomaan luotu haitallinen sivusto tai kaapattu ja siihen on syötetty hyökkäyskoodi.

Vupenin viestin mukaan virhe vaikuttaa sekä IE 6: een että 7: een täysin patched XP SP3 -tietokoneessa ja voi sallia käynnistyksen mikä tahansa komento haavoittuvassa järjestelmässä, kuten haittaohjelmien asentaminen.

[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]

Symantecin viesti kertoo, että sen testit vahvistavat julkaistun hyödyntämistyön, mutta se ei ole vielä raportoitu aktiivisista hyökkäyksistä. se "osoittaa merkkejä huonosta luotettavuudesta", ts. se ei aina toimi. Symantecin lisäkysymys kertoo myös, että Visiolla on vaikutusta, mutta Microsoft ei ole vielä vahvistanut haavoittuvuutta.

IE: tä aiheuttavat nollapäivät ovat tyypillisesti suuria uhkia, joten hyökkääjät todennäköisesti piilevät hyökkäykset, jotka kohdistavat tämän virheen vaarassa olevat verkkosivustot ja sähköposteja ja online-kommentteja, joissa on linkkejä hyökkäyksiin sisältäviin sivustoihin.

Vupenin mukaan Internet-toiminnon ja paikallisten intranet-suojausvyöhykkeiden Active Scripting -toiminnon poistaminen estää hyökkäykset tätä vikaa vastaan. todennäköisesti estää myös WWW-sivuston toiminnot. Nykyiset raportit eivät luettele IE 8: ta haavoittuvina, mutta Symantec varoittaa, että "on olemassa mahdollisuuksia, joita IE: n ja Windowsin muut versiot voivat vaikuttaa."

Päivitys (13:55) : Microsoft on vahvistanut, että haavoittuvuus vaikuttaa IE 6: een ja IE 7: een, mutta ei IE 8: een. Yhtiö sanoo, että se ei ole tällä hetkellä tietoinen mahdollisista hyökkäyksistä virheestä ja voi päättää vapauttaa out-of-band-laastarin sen jälkeen, kun se on suorittanut tutkimuksensa.