Internet Explorer z groźną luką. Microsoft nie spieszy się z poprawką

Kolejne firmy i agencje zajmujące się kwestiami związanymi z bezpieczeństwem ostrzegają przed najnowszą z luk wykrytą w przeglądarce internetowej Internet Explorer. Podatność typu zero-day dotyczy aplikacji w wersjach na wszystkie wspierane systemy operacyjne Microsoftu oraz Windowsa 7, który wsparcie utracił 14 stycznia 2020 roku. Microsoft jest świadom tego, że luka jest już wykorzystywana przez cyberprzestępców, ale nie spieszy się z wydaniem stosownej poprawki.

VU#338824: Microsoft Internet Explorer Scripting Engine memory corruption vulnerability https://t.co/VAnKfBDdLU

— US-CERT (@USCERT_gov) January 18, 2020

Lukę o identyfikatorze CVE-2020-0674 znaleziono w sposobie, w jaki Internet Explorer zarządza pamięcią. Cyberprzestępcy mogą wykorzystać podatność celem uruchomienia szkodliwego kodu na komputerze ofiary – wystarczy, że użytkownik będący celem ataku otworzy szkodliwą stronę internetową z poziomu linku wysłanego pocztą elektroniczną lub widniejącego w wyszukiwarce internetowej.

„Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu polega na tym, że silnik skryptowy obsługuje obiekty w pamięci w programie Internet Explorer. Luka ta może uszkodzić pamięć w taki sposób, że osoba atakująca może wykonać dowolny kod w odniesieniu do bieżącego użytkownika. Cyberprzestępca, któremu uda się wykorzystać tę lukę, może uzyskać takie same uprawnienia, jak bieżący użytkownik. Jeśli użytkownik jest zalogowany z uprawnieniami administratora, osoba atakująca, której uda się wykorzystać lukę, może przejąć kontrolę nad systemem, którego dotyczy luka. napastnik może następnie zainstalować programy; przeglądać, zmieniać lub usuwać dane, a nawet utworzyć nowe konta z pełnymi prawami użytkownika”, podaje Microsoft.

Firma Microsoft w odpowiedzi na pytanie nadesłane przez serwis Techcrunch poinformowała, że jest świadoma występowania „ograniczonej liczby skutecznych ataków, które wykorzystują lukę” i „pracuje już nad stosowną poprawką”. Wiele jednak wskazuje na to, że łatka zostanie udostępniona dopiero 11 lutego, przy okazji udostępniania zwyczajowych zbiorczych poprawek bezpieczeństwa w drugi wtorek miesiąca. Nie wiadomo czy Internet Explorer dla Windowsa 7 zostanie spatchowany. Jeśli korzystacie z tego systemu i Internet Explorera, lepiej czym prędzej zainstalujcie nowego Microsoft Edge’a.

Wszystko wskazuje na to, że jest to identyczna luka jak ta, którą Mozilla załatała już w połowie zeszłego tygodnia w przeglądarce internetowej Firefox. Z przeglądarki Mozilli korzysta obecnie nawet 9% internautów, podczas gdy z leciwego Internet Explorera mniej niż 1%. Nie oznacza to jednak, że Microsoft nie powinien działać w takich kwestiach znacznie sprawniej.

Źródło: US-CERT, CVE