Microsoft julkaisee tietoturva-ohjeet IE-haavoittuvuudesta

Microsoftin maanantai-iltana julkaistiin tietoturvakonsultointi, joka tarjoaa asiakkaille ohjeita ja kiertotapoja nollapäivän hyödyntämiseen Internet Explorer -ohjelmaa varten.

Aikaisemmin yritys ilmoitti tutkivan tapahtumaa jotka ilmestyivät viikonloppuna, kun joku julkaisi hyväksikäyttökoodin Bugtraq-postituslistalle. Maanantai-iltana Microsoft vaihtoi pyydyksiä ja antoi neuvoa.

Microsoft julkaisi tietoturvatiedotteen 977981, joka sisältää kiertotavoitteet ongelmaan, joka paljastaa virheen Cascading-tyylitiedostoissa, jotka saattavat mahdollistaa koodin etäsuorittamisen.

[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]

Neuvoa-antava vahvisti, että haavoittuvuus vaikuttaa IE 6: een Windows 2000 Service Pack 4: ssa, ja IE 6 ja IE 7 tukevat XP-, Vista-, Windows Server 2003- ja Windows Server 2008 -versiot. Microsoftin mainitut käyttäjät, jotka käyttävät IE 7: tä Vistaen, voivat määrittää selaimen toimimaan suojatussa tilassa rajoittamaan haavoittuvuuden vaikutusta. Se suositteli myös, että Internet-vyöhykkeen suojausasetus asetetaan "Korkea" suojaamaan sitä vastaan.

Microsoft ilmoitti, ettei IE 5.01 Service Pack 4 ja IE 8 kaikkiin Windowsin tukemiin versioihin vaikuta.

Jotta hyökkäys toimisi, hakkeri joutuisi ensin saamaan uhrin käymään hyväksikäyttökoodin ylläpitävälle verkkosivustolle. Tämä voi olla hakkeri itse laukaisema haittaohjelma tai se voi olla sivusto, jonka avulla käyttäjät voivat ladata sisältöä.

Toinen tapa, jolla tietoverkkorikolliset ovat käynnistäneet tällaisen hyökkäyksen, on kuitenkin hakkeroimalla laillisiin verkkosivustoihin. Aiemmin tällä viikolla esimerkiksi kansalaisbändiradioyhtiö Cobra Electronics paljasti, että se oli hakkeroitu kesäkuussa, todennäköisimmin ammattimaisella hakkerilla, joka oli käyttänyt sivustoa lataamaan haittaohjelmia asiakkaille.

Microsoft ei sanonut, tekisikö se korjaamaan

(Robert McMillan IDG-uutispalvelusta osallistui tähän raporttiin.)