Krytyczna poprawka dla Internet Explorera już jutro
Microsoft zapowiedział, że 21 stycznia wyda biuletyn bezpieczeństwa z poprawką na krytyczną lukę w Internet Explorerze.
Biuletyn będzie oznaczony jako MS10-002 i zostanie wydany w okolicach godziny 19 czasu polskiego. Poprawka jak zwykle będzie kumulatywna, zawierać więc będzie także poprzednie poprawki dla Internet Explorera. Przeznaczona będzie dla Internet Explorera 6, 7 i 8. Microsoft zaktualizował także poradnik bezpieczeństwa opisujący lukę. Odniósł się w nim do informacji o eksploicie pokonującym zabezpieczenie DEP. Napisał, że istotnie można obejść DEP, jednak począwszy od Visty mechanizm losowego przedzielania adresów w pamięci (Address Space Layout Randomization, ASLR) znacznie to utrudnia. Tak więc tylko na Windows XP ominięcie DEP jest stosunkowo proste.
Więcej szczegółów możemy znaleźć na blogu Security Research & Defense. Microsoft pisze w nim, że obecnie spotyka się tylko ataki na Internet Explorera 6. Dostępny jest jednak kod typu proof of concept demonstrujący wykonanie dowolnego kodu na IE7 na Windows XP, podobny kod działający na IE7 na Viście z wyłączonym DEP wewnątrz sandboksa Protected Mode oraz wspominany kod proof of concept działający na IE8 na Windows XP z włączonym mechanizmem DEP.
Podsumowując można stwierdzić, że obecnie najbardziej zagrożony jest Internet Explorer 6 na Windows XP, na który istnieje działający, publicznie dostępny exploit. Podobnie jest z IE7 na Windows XP. Na Viście natomiast exploit ma ograniczony zakres działania. W obu przypadkach exploit nie jest jeszcze publicznie dostępny. Najbardziej skomplikowana jest sytuacja w przypadku Internet Explorera 8. Na Windows XP exploit omijający DEP działa średnio w jednym na trzy przypadki. W pozostałych następuje zawieszenie przeglądarki. W przypadku Visty exploit nie jest dostępny. Gdyby jednak zmodyfikować exploit przeznaczony dla XP, działałby on w ok 1% przypadków (1/256 + 1/255 + 1/254). W pozostałych nastąpiłoby zawieszenie IE bez wykonania szkodliwego kodu. Taka sama sytuacja jest na Windows 7. W dwóch najnowszych systemach losowość wprowadzona przez ASLR powoduje, że exploit ma małe szanse zadziałania. Dziura występuje więc zarówno w IE6 jak i IE7 oraz IE8 ale jest ona mniej groźna w nowszych systemach dzięki wprowadzonym w nich zabezpieczeniom.