I forrige uke advarte Microsoft om en kritisk sårbarhet i nettleseren Internet Explorer (IE). Det ble etter hvert klart at den gjaldt alle versjoner av IE som er i bruk i dag, og det ble avdekket at kriminelle elementer i helgen allerede hadde lykkes i å infisere legitime nettsteder med kode som utnyttet hullet til å smitte besøkende.
Ofrene risikerer at pc-en kontrolleres av uvedkommende, slik at den utnyttes i botnett, tappes for personopplysninger og at alle tastetrykk og all nettverkstrafikk registreres.
Microsoft sendte i natt ut et varsel om at det vil bli sendt ut en ekstraordinær sikkerhetsoppdatering gjennom Windows Update i dag, onsdag 17. desember. Oppdateringen vil være tilgjengelig fra klokken 17 norsk tid.
Dette er et oppsiktsvekkende tiltak, og gjenspeiler alvoret i trusselen som denne sårbarheten utgjør. Det finnes en rekke måter for kriminelle å infisere legitime nettsteder med kode som rammer tilfeldige besøkende, og selv om de ansvarlige for nettstedene følger med, kan det gå timer før nettstedet er renset og sikkert.
Ole Tom Seierstad i Microsoft Norge sier til digi.no at det skal mye til før Microsoft kommer med en oppdatering utenom faste oppdateringstider.
– Det gjøres kun når vi ser det er svært viktig. Vi håper folk skrur på Windows Update og at de installerer oppdateringen så fort som mulig.
IT-administratorer henvises til Microsoft Security Bulletin Advance Notification for December 2008 der det gjøres nærmere rede for sårbarheten.
Microsoft oppfordrer folk som mistenker at de kan være rammet til å følge anvisningene på Sikkerhetsveiledning 961951, og til å melde fra til myndighetene. I Norge kan man for eksempel melde fra til NorCERT under Nasjonal sikkerhetsmyndighet.
Les også:
- [27.01.2009] Microsoft haster ut Windows-oppdateringer
- [18.12.2008] Fiks ute for det kritiske IE-hullet
- [15.12.2008] Usikret IE-hull utnyttes mer enn først antatt
- [10.12.2008] Fjerner 28 sårbarheter, men ikke den ferskeste
