Kritická chyba nulového dne otevírá otvory v IE 6 a 7

Nově objevená hrozba, která dosud neobsahuje žádné opravy, může podle bezpečnostních firem umožnit útok založený na webu proti aktuálním prohlížečům Internet Explorer 6 a 7.

Oba společnosti Symantec a Vupen Security zveřejnili upozornění na chybu, která zahrnuje způsob, jakým IE zpracovává kaskádové styly nebo CSS. Podle příspěvků by surfování na webu s vloženým kódem útoku spustilo útok. Stránky by mohly být specificky vytvořené škodlivé stránky nebo takové, které byly uneseny a byly vloženy do kódu útoku.

Podle Vupenova příspěvku se chyba týká IE 6 a 7 na plně patched XP SP3 počítači a může umožnit běh jakýkoliv příkaz na zranitelném systému, jako je například instalace malwaru. Zatím neexistují žádné zprávy o aktivních útokech, ale kód zneužití je veřejně dostupný.

[Další čtení: Jak odstranit malware z počítače se systémem Windows]

Příspěvek společnosti Symantec říká, že jeho testy potvrzují publikované exploitové práce, ale "vykazuje známky špatné spolehlivosti", tj. to vždy nefunguje. Další e-mail od společnosti Symantec uvádí, že je ovlivněna i Vista, ale společnost Microsoft tuto chybu zabezpečení ještě nepotvrdila.

Zero-dny, které ovlivňují IE, jsou obvykle závažnými hrozbami, takže útočníci pravděpodobně začnou skrývat útoky, zneužití aktivních skriptů v zónách zabezpečení Internetu a lokálních intranetových bloků zablokuje útoky proti této chybě, ale v takovém případě by to znamenalo, pravděpodobné blokování funkčnosti webových stránek. Aktuální zprávy nezahrnují IE 8 jako zranitelné, ale společnost Symantec varuje, že "existují možnosti, že mohou být ovlivněny i jiné verze IE a Windows". Nejlepším řešením může být použití alternativního prohlížeče, například aplikace Firefox, dokud není k dispozici aktualizace.

Aktualizace (1:55 hod.)

: Společnost Microsoft potvrdila, že tato chyba ovlivňuje IE 6 a IE 7, ale ne IE 8. Společnost říká, že v současné době není známa žádné existující útoky proti chybě a může se rozhodnout, že po ukončení šetření uvolní záplatu mimo pásmo.