Az Internet Explorer érzékeny információkat szivárgott?

Do használja az Internet Explorer programot? Ha igen, remélhetőleg már alkalmazta a Patch kedden a frissítést a hét elején. De még akkor is, ha úgy tenné, hogy a böngészõd továbbra is sérülhet a potenciálisan súlyos probléma miatt.

A Spider.io, az ügyfelek ügyfeleinek megkülönböztetése a tényleges weboldalak látogatói és az automatizált botaktivitás között, azt állítja, hogy felfedezte egy olyan hiba, amely az Internet Explorer böngészőjétől a 6-tól 10-ig terjedő verziót érinti. A sérülékenység szerint az egér kurzor pozícióját bárhonnan nyomon követheti, akárhol is van a képernyőn, még akkor is, ha az IE minimálisra csökken.

Spider.io nyilvánosságra hozta a a Microsoftnak 2012. október 1-jén okozott sebezhetőség, azonban az Internet Explorer legújabb biztonsági frissítésében nem foglalkoztak. A Spider.io kijelenti, hogy a hibát aktívan kihasználják, és azt állítja, hogy a Microsoft Biztonsági Kutatóközpont (MSRC) elismerte a biztonsági rést, de nincs azonnali tervük a javításra.

[További olvasnivalók: PC]

Az IE hibája potenciálisan érzékeny információkat szivároghat

Megkérdeztem a Microsofttól az állítólagos sérülékenységre vonatkozó álláspontját. A szóvivő ezt a hivatalos választ küldte: "Jelenleg vizsgáljuk ezt a problémát, de eddig nem jelentettek be olyan aktív tevékenységeket vagy ügyfeleket, amelyek hátrányosan érintettek. További információt nyújtunk, amint elérhetővé válik, és meghozza a megfelelő lépéseket ügyfeleink védelme érdekében. "

Jason Miller, a VMware kutatási és fejlesztési vezetője megkérdőjelezi, hogy a probléma" hiba "vagy" szolgáltatás ". "Valószínűleg megkérdőjelezhető, hogy ez egy biztonsági rés vagy egy olyan funkció, amelyet a böngészőbe bevezetett, hogy segítsen megállapítani a használati metrikákat. Függetlenül attól, hogy a kutatók bizonyították, hogy ez a "probléma" rosszindulatúan használható. "

Wolfgang Kandek Qualys CTO-val beszéltem. Aggodalmát fejezte ki az internetes banki szolgáltatások ilyen sebezhetőségének következményei miatt. Számos bank a képernyőn megjelenő virtuális billentyűzeteket bevezették a számlaazonosító adatok bevitelére a hagyományos keylogger-támadások elkerülésére.

Andrew Storms, a nCircle biztonsági műveleti igazgatója egyetért. "Ez a kizsákmányolás azt eredményezi, hogy az enyhítés null és void - ez egy kulcsnapló hatása a virtuális billentyűzeteken. A támadók potenciálisan megragadhatják a banki hitelesítő adatokhoz kapcsolódó kattintásokat, és ez nem jó hír a 63 millió amerikai bank számára. "

Alex Horan, a CORE Security vezető termékmenedzsere hozzáteszi, hogy az állítólag" biztonságos "weboldalak nem lehet olyan biztonságos. "Azt is megerősíti, hogy csak azért, mert a YouTube-ot vagy a New York Times-ot látogatja meg, nem jelenti azt, hogy a webhelyen lévő összes tartalom tulajdonosa vagy kezeli őket. A rosszindulatú hirdetések kiszolgálása a megbízható mainstream webhelyeken nagyszerű módja annak, hogy a támadást nagy mennyiségű felhasználó. "

Horan azt javasolja, hogy hagyja el az IE-t mindaddig, amíg a kérdést nem kijavítja a Microsoft.

Storms azt mondja:" Ha ez a biztonsági rés meg van erősítve, akkor fennáll annak a lehetősége, és ez mindenki szeretné elkerülni ezt az ünnepi szezont. "