Secondo Symantec, azienda specializzata in sicurezza, è stata isolata una nuova vulnerabilità zero-day, sfruttabile da remoto, nel codice di Microsoft Internet Explorer, che solo una settimana fa era stato corretto con un aggiornamento cumulativo per ben 10 vulnerabilità.
In un alert ai clienti del sistema DeepSight, Symantec ha citato una nuova vulnerabilità pubblicata nella mailing list di sicurezza Bugtraq dal ricercatore di sicurezza Michal Zalewski. Internet Explorer sarebbe vulnerabile a corruzione di memoria a causa del suo modo di gestione del codice HTML malformato.
Secondo Symantec, il bug potrebbe venire esposto e attivato da contenuti HTML che includono tag annidati (nested OBJECT tags) privi dei necessari tag di chiusura.
L’advisory dell’azienda recita: “un attacker può sfruttare questo problema tramite una pagina web maliziosa per eseguire potenzialmente codice arbitrario nel contesto dell’utente correntemente loggato … se l’attacco viene condotto con successo, il contenuto nocivo viene eseguito. Gli exploit non condotti con successo porteranno probabilmente invece al crash dell’applicazione affetta.”
La versione fully-patched di IE 6 per Windows XP SP2, la versione più sicura del browser attualmente disponibile, è vulnerabile a questo tipo di attacco.
Symantec non è a conoscenza di nessuna altro codice exploit nocivo che attacca la vulnerabilità se si escludono gli esempi di codice HTML in grado di mandare in crash il browser pubblicati dallo stesso Zalewski. L’azienda tuttavia consiglia agli utenti di IE di eseguire il browser in un account utente non-amministrativo, di evitare la navigazione su siti non affidabili e di disabilitare la modalità HTML nei loro client e-mail, dato che l’attacco può essere condotto anche tramite le anteprime dei messaggi HTML nei programmi di posta elettronica.
Symantec ha classificato la nuova vulnerabilità zero-day come di rischio globale “7.5” su un massimo di “10”.
Fonte
In un alert ai clienti del sistema DeepSight, Symantec ha citato una nuova vulnerabilità pubblicata nella mailing list di sicurezza Bugtraq dal ricercatore di sicurezza Michal Zalewski. Internet Explorer sarebbe vulnerabile a corruzione di memoria a causa del suo modo di gestione del codice HTML malformato.
Secondo Symantec, il bug potrebbe venire esposto e attivato da contenuti HTML che includono tag annidati (nested OBJECT tags) privi dei necessari tag di chiusura.
L’advisory dell’azienda recita: “un attacker può sfruttare questo problema tramite una pagina web maliziosa per eseguire potenzialmente codice arbitrario nel contesto dell’utente correntemente loggato … se l’attacco viene condotto con successo, il contenuto nocivo viene eseguito. Gli exploit non condotti con successo porteranno probabilmente invece al crash dell’applicazione affetta.”
La versione fully-patched di IE 6 per Windows XP SP2, la versione più sicura del browser attualmente disponibile, è vulnerabile a questo tipo di attacco.
Symantec non è a conoscenza di nessuna altro codice exploit nocivo che attacca la vulnerabilità se si escludono gli esempi di codice HTML in grado di mandare in crash il browser pubblicati dallo stesso Zalewski. L’azienda tuttavia consiglia agli utenti di IE di eseguire il browser in un account utente non-amministrativo, di evitare la navigazione su siti non affidabili e di disabilitare la modalità HTML nei loro client e-mail, dato che l’attacco può essere condotto anche tramite le anteprime dei messaggi HTML nei programmi di posta elettronica.
Symantec ha classificato la nuova vulnerabilità zero-day come di rischio globale “7.5” su un massimo di “10”.
Fonte