MSA 917077 su Falla Grave IE(Attenzione)

ERCOLINO

ERCOLINO

Membro dello Staff
Amministratore
Registrato
3 Marzo 2003
Messaggi
250.659
Località
Torino
Microsoft ha rilasciato il Security Advisory (917077) per informare i suoi clienti riguardo una nuova pericolosa vulnerabilità individuata in Internet Explorer, che mette a rischio milioni di utenti del popolare browser. Il codice proof-of-concept per la falla è infatti già disponibile in rete, e questo contribuisce ad aumentare la gravità del problema di sicurezza.L'advisory conferma l'esistenza della nuova falla di "esecuzione codice", segnalata originariamente da Secunia Research, nota azienda da tempo attiva nel campo della sicurezza informatica e specializzata nel rilascio di tempestivi security alerts. Il problema è causato da un errore nel processing della chiamata al metodo "createTextRange()" quando applicato ad un controllo "radio button". Questo bug può essere sfruttato da un sito malintenzionato per corrompere la memoria del browser in modo tale da consentire al flusso del programma di essere dirottato al heap, piccola regione di memoria utilizzata per allocare e rilasciare in modo dinamico gli oggetti che vengono utilizzati dal programma. L'exploit di questa vulnerabilità, se condotto con successo, consente l'esecuzione di codice arbitrario sul sistema.


Continua qui
 
Falla IE Sotto Attacco Exploit

img_5.gif


I cybercriminali stanno sfruttando alcuni web server sotto “hijack” e siti compromessi per lanciare un'ondata di attacchi zero-day contro una falla non corretta nel popolare browser Microsoft Internet Explorer. La falla di "esecuzione codice", segnalata originariamente da Secunia Research, nota azienda da tempo attiva nel campo della sicurezza informatica, è causato da un errore nel processing della chiamata al metodo "createTextRange()" quando applicato ad un controllo "radio button". Questo bug può essere sfruttato da un sito malintenzionato per corrompere la memoria del browser in modo tale da consentire al flusso del programma di essere dirottato al heap. L'exploit di questa vulnerabilità, se condotto con successo, consente l'esecuzione di codice arbitrario sul sistema.

La falla è stata confermata in un sistema con Internet Explorer 6.0 e Windows XP SP2 provvisti di tutte le patch di sicurezza disponibili, e nelle versioni precedenti del browser IE 5.01 e IE 5.5. Secondo Secunia il problema di sicurezza interessa anche Internet Explorer 7 Beta 2 Preview. Microsoft stessa, avverte comunque che l'ultima Beta 2 Preview "Refresh" di IE7, rilasciata durante il MIX06 alcuni giorni fa, non è vulnerabile a questo tipo di attacco.

La prima ondata di attacchi “drive-by” è stata isolata il 25 Marzo. Il termine "drive-by" definisce la pratica di installare software (nocivo) senza il consenso dell'utente tramite l’uso delle vulnerabilità e nel corso della normale navigazione. Finora sono stati individuati più 20 domini e 100 URL unici che ospitano i codici exploit, e che si occupano di rilasciare sui sistemi vittima una variante di SDbot, famiglia di virus-backdoor che consente agli attackers di guadagnare il controllo completo del computer infetto da remoto tramite comandi specifici IRC (Inter Relay Chat). Il codice nocivo è stato usato in passato per popolare botnet ed installare keystroke logger da usare in attacchi di identity theft.


Continua qui

Modifica ActiveX
 
Falla Grave IE: Novità e Antivirus

Stephen Toulouse, program manager del Microsoft Security Response Center, noto anche come "Stepto", ha pubblicato un nuovo aggiornamento sulla situazione relativa alla pericolosa falla “createTextRange” in Internet Explorer, che sta mettendo a rischio milioni di utenti della rete. La falla di "esecuzione codice", segnalata originariamente da Secunia Research, nota azienda da tempo attiva nel campo della sicurezza informatica, è causata da un errore nel processing della chiamata al metodo "createTextRange()" quando applicato ad un controllo "radio button". Questo bug può essere sfruttato da un sito malintenzionato per corrompere la memoria del browser in modo tale da consentire al flusso del programma di essere dirottato al heap. L'exploit di questa vulnerabilità, se condotto con successo, consente l'esecuzione di codice arbitrario sul sistema.

Nel frattempo anche Trend Micro :icon_cool: :D e Symantec hanno rilasciato le signature di rilevamento generico per il codice exploit zero-day. McAfee e altri AV vendors avevano già implementato recentemente nei loro prodotti di sicurezza una prima forma di protezione per il problema di sicurezza per i loro clienti.


Continua qui
 
Sconsiglio di installarla(come tutte le patch non ufficiali) ,usate firefox.

Poi l'11 aprile verrà rilasciata quella Microsoft
 
Microsoft ha voluto aggiornare i propri clienti sulla situazione relativa alla pericolosa falla zero-day “Create TextRange” scoperta giorni fa nel suo software browser Internet Explorer e già sfruttata da centinaia di siti malintenzionati per mettere a rischio migliaia di navigatori della rete. Mike Reavey, Lead Security Program Manager del Microsoft Security Response Center, ha pubblicato una nuova nota sul Blog ufficiale di MSRC, in cui conferma che l’azienda non ha rilevato finora una significante diffusione degli attacchi contro la falla ed è tuttora impegnata, insieme alle forze dell’ordine, nel tentativo di mettere offline i siti maliziosi che includono i codici exploit.


Continua qui
 
ERCOLINO ha scritto:
Falla IE Sotto Attacco Exploit... Microsoft stessa, avverte comunque che l'ultima Beta 2 Preview "Refresh" di IE7, rilasciata durante il MIX06 alcuni giorni fa, non è vulnerabile a questo tipo di attacco.
Clicca per espandere...
Si tratta della versione 5535.5 rilasciata il 20 marzo scorso?
 
Devi accedere o registrarti per poter rispondere.
Indietro
Alto Basso