Microsoft, vulnerabile anche la beta di IE7

Nuovi gravi problemi di sicurezza per Internet Explorer: una vulnerabilità è stata scoperta all’interno sia di Internet Explorer 6 che della beta 2 di Internet Explorer 7 (appena rilasciata). Secunia indica il problema come estremamente critico e consiglia di non visitare siti non sicuri fintanto che il problema non sarà risolto.

La scoperta della falla è attribuita ad Andreas Sandblad del team Secunia il quale ha segnalato come un particolare uso della funzione createTextRange() sui radio button è in grado di portare all’esecuzione di codice da remoto. La vulnerabilità è stata verificata su sistemi completamente patchati e dotati di Windows XP SP2.

Al momento non risulta essere disponibile alcuna patch né alcun workaround tale da mitigare la pericolosità del tutto: Microsoft ha ammesso le indagini in proposito ma il problema rimane aperto e solo l’attenzione dell’utenza può scongiurare eventuali attacchi. Se Secunia ha portato a conoscenza il problema prima che Microsoft abbia potuto porvi rimedio, è perchè antecedentemente tale Stelian Ene aveva già postato su una mailing list pubblica i dettagli del problema: un eventuale exploit potrebbe dunque essere in elaborazione e la notifica del problema si è resa necessaria forzando i tempi di reazione di Microsoft (bisognerà presumibilmente attendere Martedì 11 Aprile, data prevista per il prossimo aggiornamento di sicurezza).

Nelle ore precedenti alla segnalazione Secunia un’altra falla di minore gravità era emersa in Internet Explorer: scoperta da Michal Zalewski, tale vulnerabilità permette di mandare in crash IE6 semplicemente elaborando una pagina avente tag particolarmente ricchi di descrizioni. Tale problema ha pericolosità ridotta rispetto al primo ed un proof-of-concept è disponibile online per dimostrare la bontà della segnalazione di Zalewski. Anche in questo caso Microsoft non ha avuto segnalazione anticipata e potrà porre rimedio al tutto solo in occasione del prossimo aggiornamento.