Flere kilder melder om aktive angrep mot en sårbarhet i Windows som kan utnyttes gjennom Internet Explorer.
Interessant nok er det Google som går kraftigst ut med å advare om dette, selv om også Microsoft bekrefter at sårbarheten er utsatt for begrensede angrep.
Google Security Team mener at angrepene først og fremst er rettet mot enkelte politiske aktivister, men teamet har også sett angrep mot Google-brukere som også er brukere av en populært, sosial nettverkstjeneste.
Sårbarheten som utnyttes ble gjort offentlig kjent i januar. Den er knyttet til MHTML-formatet, som blant annet Internet Explorer bruker for å lagre websider til brukerens harddisk. Sårbarheten er tilsynelatende ikke direkte avhengig av hvilken versjon av IE som benyttes, men berører alle brukere av Windows XP og nyere. Sårbarheten skal ikke kunne utnyttes gjennom andre nettlesere.
Allerede i begynnelsen av februar var det enkelte som mente at faren for at sårbarheten ville bli utnyttet var høy fordi sårbarheten ramme samtlige Windows-utgaver som Microsoft fortsatt støtter. Dette til tross for at det ble ansett som vanskelig å lage egnet angrepskode.
Sårbarheten åpner for avsløring av informasjon på brukerens system gjennom cross-site scripting (XSS), men skal ikke kunne gi angripere full systemtilgang. Dette kan være årsaken til at Microsoft ikke har prioritert å utgi en sikkerhetsfiks som løser problemet, som ble offentlig kjent i januar. Selskapet kom med flere sikkerhetsfikser i forrige uke, men denne sårbarheten fikk altså være i fred.
I stedet har Microsoft kommet med en midlertidig Fix it-løsning som ikke fjerner sårbarheten, men som blokkerer kjøringen av skript i MHTML-dokumenter.
Google anbefaler sine brukere å benytte Fix it-løsningen, men har i tillegg gjort visse tiltak på serversiden for å gjøre det vanskelige å utnytte MHTML-sårbarheten. Selskapet bistår Microsoft i arbeidet med å utvikle en helhetlig løsning på problemet.
Google Security Team mener at utnyttelsen av akkurat denne sårbarheten er spesielt interessant, fordi den representerer et nytt skritt innen utnyttelse av webnivå-sårbarheter.
Til nå har tilsvarende angrep fokusert direkte på å kompromittere brukernes systemer, i stedet for å utnytte sårbarheter til å samhandle med webtjenester.
Google kunngjorde forøvrig på fredag at selskapet har fjernet nok en sårbarhet fra selskapets egen nettleser, Chrome. Sårbarheten skal være den samme som hackere benyttet i forbindelse med Pwn2Own-konkurransen for å knekke en BlackBerry smartmobil i forrige uke. Sårbarheten fantes i WebKit, som blant annet Chrome er basert på.
