La lacuna consente di superare le misure di sicurezza usate in Windows e nella sandbox. Rischi limitati, ma il problema è presente anche nelle precedenti versioni del browser.
Secondo i francesi di Vupen, società che da tempo si occupa di sicurezza informatica, Internet Explorer 9 (IE9) sarebbe oggetto di una prima grave vulnerabilità.
Stando a quanto riferito, la lacuna da poco venuta a galla consentirebbe ad un eventuale aggressore di “dribblare” tutte le misure di sicurezza utilizzate in Windows (ASLR e DEP), oltre alla sandbox (Protected Mode) introdotta in IE9.
Gli esperti di Vupen hanno classificato il codice exploit messo a punto come “affidabile“: ciò conferma l’esistenza di un problema reale che consentirebbe, ad eventuali malintenzionati, di eseguire codice potenzialmente nocivo anche sui sistemi più aggiornati. Ad esempio su Windows 7 SP1 (con tutte le patch applicate) con IE9.
“Sono state sfruttate due vulnerabilità distinte. La prima consente l’esecuzione di codice arbitrario all’interno della sandbox di IE9. La seconda, invece, permette di bypassare la sandbox così da ottenere la possibilità di eseguire il codice nel contesto del sistema operativo“, ha dichiarato Chaouki Bekra, CEO di Vupen.
Al momento, tuttavia, i rischi di infezione restano piuttosto limitati. Il codice exploit messo a punto da Vupen non è stato diffuso né sono stati individuati, online, codici similari.
Bekra ha voluto puntualizzare come l’exploit non sia stato reso pubblico: “l’accesso ai nostri codici ed alle nostre approfondite analisi tecniche è limitato ai nostri clienti governativi che utilizzano tali informazioni per proteggere le proprie infrastrutture di importanza strategica“.
La vulnerabilità rilevata in IE9 sarebbe presente, secondo quanto dichiarato, in tutte le versioni precedenti del browser targato Microsoft e risulterebbe da un bug presente nella libreria mshtml.dll. Trovandosi a gestire una specifica combinazione di codice HTML e JavaScript, tale file fungerebbe da appiglio per eventuali attacchi.
Vupen suggerisce agli utenti di Internet Explorer di disattivare temporaneamente l’esecuzione del codice JavaScript o di orientarsi, almeno per il momento, su altri browser web.
