Microsoft advarte i helgen om en ny nulldagssårbarhet som rammer Internet Explorer 6 og nyere. Sårbarheten benyttes allerede i begrensede, rettede angrep. Foreløpig er ingen sikkerhetsoppdatering tilgjengelig.
Microsoft skriver i et blogginnlegg at selskapets undersøkelser viser at IE 10 og 11, dersom Enhanced Protected Mode er aktivert, skal beskytte mot risikoen. Enhanced Protected Mode er aktivert som standard i disse nettleserne. Eldre versjoner av Internet Explorer har ikke tilsvarende beskyttelse innebygd. Men også Enhanced Mitigation Experience Toolkit (EMET) 4.1 og EMET 5.0 Technical Preview skal tilby tilsvarende beskyttelse.
Det finnes også en del «triks» man kan gjøres for manuelt å deaktivere den sårbare funksjonaliteten. Dette betyr dog begrensninger i hvordan nettleseren kan brukes. En oversikt over dette finnes her.
Sårbarheten skyldes måten Internet Explorer aksesserer objekter som har blitt slettet eller ikke blitt skikkelig allokert i minnet. Dette kan føre til at minnet korrumperes på en slik måte at angripere kan kjøre vilkårlig kode med samme privilegier som IE-brukeren. Angrepet vil typisk foregår gjennom en webside som inneholder angrepskoden.
Sikkerhetsselskapet Fireeye har flere detaljer om sårbarheten.
Microsoft har ennå ikke avgjort hvor raskt selskapet vil komme med en sikkerhetsoppdatering som fjerner sårbarheten. Den første ordinære utgivelsesdagen er tirsdag den 13. mai. Men blir angrepene mer utbredt, kan det også skje før.
Dette er forøvrig den første kjente sårbarheten som ikke vil bli fjernet fra Windows XP. Som kjent sluttet Microsoft å tilby nye oppdateringer til Windows XP tidligere denne måneden. Windows XP-brukere bør i utgangspunktet erstatte operativsystemet med noe mer moderne. Alternativt bør man i alle fall bruke en nettleser som fortsatt oppdateres. Oppdaterte utgaver av både Chrome, Firefox og Opera tilbys fortsatt til Windows XP.
Les også:
- [22.05.2014] Har kjent til IE-sårbarhet i sju måneder
- [02.05.2014] Microsoft lapper Windows XP
- [29.04.2014] – Bruk en annen nettleser
- [08.04.2014] Siste oppdatering til Windows XP
