Patch insufficiente: nuova falla critica per IE

Appena pochi giorni dopo la distribuzione dell’ultima patch di Internet Explorer, ecco un nuovo allarme. Secondo Secunia infatti la patch non sarebbe sufficiente a coprire i bug di IE ed in particolare una variante del “Object Data” già tristemente famoso in seguito agli attacchi di Nimda, Klez e Badtrans.

I problemi nascono nell’interpretazione di documenti HTML, indice di un pericolo proveniente non solo dalle mail infette ma anche da pagine di siti malintenzionati. Grazie all’header “Content-Type” può essere fatto interpretare un file .hta in grado di dar vita all’attacco.

La vulnerabilità colpirebbe tutte le release di IE successive alla 5.01 e per ovviare al problema, in attesa di un qualche provvedimento da casa Microsoft, è necessario disabilitare le ActiveX (dal menu Strumenti -> Opzioni Internet di Explorer verificare le opzioni presenti nella linguetta protezione). Un eventuale script maligno creato per sfruttare tale falla sarebbe in grado, ad esempio, di inserire nel browser una barra di navigazione piena di link (per i quali è facile prevederne la matrice pornografica). È già stato rilevato in rete un exploit in grado di sfruttare la falla.

La falla è etichettata come estremamente critica e Secunia ha già rilasciato sul proprio sito un test per verificare la vulnerabilità del proprio sistema. Si aspettano notizie dalla Microsoft in merito ad una nuova, necessaria, subitanea patch poiché la nuova falla è stata divulgata senza, a quanto pare, prima avvertire il produttore.