Código de exploração de uma vulnerabilidade não corrigida no Internet Explorer da Microsoft está circulando, uma empresa de segurança nesta sexta-feira, mas o perigo continua a ser baixa como a crise atual só trava o navegador.
Totalmente atualizado Windows XP SP2 e Windows 2000 SP4 sistemas são abertos ao novo ataque, disse David Cole, diretor de segurança da Symantec grupo. "Este é o código de prova de conceito, não vimos qualquer exploits ativos", disse Cole. "Se ela cresce em algo maior está fortemente ligada a se começar a execução remota de código [recursos]", acrescentou.
A notícia chega apenas três dias após a Microsoft ter liberado suas atualizações de segurança mais recentes. Na terça-feira, no entanto, o navegador da empresa não foi corrigida, uma correção de Agosto, que acabou sendo lançado três vezes diferentes, mais recentemente, esta semana, foi a última atualização do IE.
Não há nenhum patch disponível para o bug, que a Microsoft admitiu que está investigando. Em um boletim de segurança emitido quinta-feira, o Redmond, Washington desenvolvedor disse que iria lançar um patch ou na sua atualização mensal regular-programado, ou como um fora-de-fix-ciclo. Windows Server 2003 não está em risco.
O problema novo IE está relacionado a um controle ActiveX (Microsoft DirectAnimation Path), que faz parte do daxctle.ocx "objeto COM. Um invasor que explorar com êxito a vulnerabilidade poderia seqüestrar o computador, a Microsoft reconheceu, sem qualquer interação do usuário uma vez tinham sido atraídos para um site malicioso.
Microsoft ActiveX controles remendado várias vezes no ano passado, os atacantes descobriram que o Windows não foi devidamente verificação para ver se os dados passados para controles, dentro dos parâmetros permitidos. No caso do código de prova de conceito agora disponível, JavaScript transmite dados inaceitável para o controle, que então resulta em um estouro de pilha.
Cole disse que não foi um choque que ActiveX continua a ter problemas. "O [mais funcionalidade em code], o mais provável que haja um erro na mesma", disse ele. "A complexidade é a inimiga da segurança. É um problema difícil de resolver. Desenvolvedores tentam equilibrar a funcionalidade com a segurança do rico".
Mesmo que o real explorar in-the-wild "não ter sido visto, algumas organizações de segurança soou o alarme. Dinamarquesa Secunia, a vulnerabilidade tracker, por exemplo, classificou a falha do IE como "extremamente crítica, é advertência mais séria.
Com um patch disponível, a Symantec recomenda que os usuários confira o conselho da Microsoft, que incluiu a definição de "kill bit" no controle ActiveX para desativá-lo. Isso, no entanto, exige que os usuários de editar o Registro do Windows, algo que muitos não estão preparados para fazer. No passado, as sugestões da Microsoft em conjunto específico kill bits foram tomados por pesquisadores de terceiros, que têm dobrado a ferramentas automatizadas para desligar o controle.
Outra tática, disse que a Microsoft, é desabilitar todos os controles ActiveX no Internet Explorer na caixa de diálogo que aparece após selecionando Ferramentas | Opções da Internet.
Internet Explorer 7, que a Microsoft vai lançar ainda este ano para Windows XP (e no início do próximo pacote com Windows Vista), pode bloquear as vulnerabilidades similares no futuro, disse Cole. "Há alguns sinais promissores", disse Cole, "mas acho que o IE 7 vai eliminar todas essas vulnerabilidades é ignorar a história da segurança informática."
De fato, há sinais crescentes de que os atacantes podem em breve alvo de aplicações Web 2.0 escrito em Ajax. Entre os sites baseados em Ajax e serviços, Cole contados a popular rede social MySpace, bem como novas versões de Web-based e-mail da Microsoft e da Yahoo.
"Estamos já viu um pouco de interesse", disse Cole. "O worm MySpace, e worm que atacou o Yamanner Yahoo Mail [em junho]. Eles não estão sendo explorados desenfreadamente, mas não é Ajax sendo usado generalizada.
"Nós vamos descobrir muito mais sobre como a vulnerabilidade Ajax está em um futuro não muito distante."
Web Fonte - Tech
