Internet Explorer 10 možno infikovať obyčajnou návštevou webu. Oprava zatiaľ nie je na dohľad.

Mic­ro­soft ofi­ciál­ne potvr­dil in­for­má­ciu, kto­rá sa ob­ja­vi­la v mé­diách kon­com mi­nu­lé­ho týž­dňa, že je­ho webo­vý browser Inter­net Explo­rer 10 (a aj star­šie ver­zie IE9) má tzv. ze­ro-day zra­ni­teľ­nosť kri­tic­kej po­va­hy, na kto­rú za­tiaľ neexis­tu­je op­ra­va. To vy­uží­va­jú útoč­ní­ci a už tú­to chy­bu ak­tív­ne exploi­to­va­li.

Pô­vod­ne sa ob­ja­vi­la in­for­má­cia o ne­bez­peč­nej zra­ni­teľ­nos­ti len v IE10, ale nes­kôr bo­la roz­ší­re­ná aj na IE9. Mic­ro­soft pre­to od­po­rú­ča pred vy­da­ním zá­pla­ty ak­tua­li­zo­vať na naj­nov­šiu ver­ziu Inter­net Explo­rer 11, kto­rá však nie je k dis­po­zí­cii pre Vis­tu, pre­to­že tá ako pos­led­nú ver­ziu pod­po­ru­je prá­ve len IE9. Naš­ťas­tie Vista sa už sta­la tak­mer za­bud­nu­tým ope­rač­ným sys­té­mom, pou­ží­va­jú ju v sú­čas­nos­ti me­nej než 4 % pou­ží­va­te­ľov. Pod Win­dows XP je po­tom pos­led­nou pod­po­ro­va­nou ver­ziou Inter­net Explo­rer 8, kto­rý uve­de­nú zra­ni­teľ­nosť neob­sa­hu­je, ma­ji­te­lia „xpé­čok" sa te­da ne­ma­jú čo­ho obá­vať.

Pod­ľa šta­tis­tík spo­loč­nos­ti Net Ap­pli­ca­tions pou­ží­va v sú­čas­nos­ti IE9 ce­los­ve­to­vo 15,3 % pou­ží­va­te­ľov a pri IE10 je to po­tom 15,9 %. V súč­te je to te­da tak­mer tre­ti­na všet­kých pou­ží­va­te­ľov Inter­net Explo­re­ra, kto­rí sú te­raz vy­sta­ve­ní ri­zi­ku na­pad­nu­tia. Mi­mo­cho­dom, naj­roz­ší­re­nej­šou ver­ziou je prá­ve IE8, kto­rý si dr­ží za­tiaľ neot­ra­si­teľ­ný po­diel 36,5 % z cel­ko­vé­ho poč­tu pou­ží­va­te­ľov Inter­net Explo­re­ra.

Ako útok na Inter­net Explo­rer pre­bie­ha?

Na­pad­nu­tie fun­gu­je tak, že útoč­ní­ci umiestnia škod­li­vý kód na cie­ľo­vý web a ten in­fi­ku­je po­čí­ta­če náv­štev­ní­kov s IE9 či IE10 úpl­ne auto­ma­tic­ky. Ten­to typ úto­ku je vô­bec naj­zá­ker­nej­ší, pre­to­že od pou­ží­va­te­ľa nie je vy­ža­do­va­ná ni­ja­ká ak­cia a nie je si ve­do­mý prak­tic­ky žiad­ne­ho prob­lé­mu. Na na­pad­nu­tie pre­hlia­da­ča po­tom útoč­ní­ci vy­uži­jú mož­nosť obí­de­nia bez­peč­nos­tnej tech­no­ló­gie ASLR za pou­ži­tia Flash Ac­tionScript, čo je skrip­to­va­cí ja­zyk od Ado­be, pou­ží­va­ný na weboch, kto­ré sú sil­ne zá­vis­lé od Flash Playera na zob­ra­zo­va­nie ob­sa­hu náv­štev­ní­kom.

Po ús­peš­nom pre­lo­me­ní ochra­ny škod­li­vý kód stiah­ne do po­čí­ta­ča ďal­šie sú­bo­ry zo vzdia­le­né­ho server­a, kto­ré po­tom útoč­ní­kom umož­nia prak­tic­ky neob­me­dze­ný prís­tup k PC obe­te.

Pr­vé exploi­ty tej­to zra­ni­teľ­nos­ti sa pod­ľa bez­peč­nos­tných exper­tov ob­ja­vi­li údaj­ne už oko­lo 20. ja­nuá­ra, tak­že pou­ží­va­te­lia sú vy­sta­ve­ní ri­zi­ku už tak­mer me­siac. Me­dzi pr­vot­né obe­te pat­ri­li náv­štev­ní­ci webo­vých strá­nok Fran­cúz­skej aero­nau­tic­kej aso­ciá­cie (GI­FAS). Ďalej po­tom bo­li škod­li­vé kó­dy ší­re­né cez ďal­šie weby ve­no­va­né vo­jen­skej te­ma­ti­ke v USA, čo je až za­ují­ma­vá zho­da ná­hod a od­bor­ní­ci na bez­peč­nosť špe­ku­lu­jú, že úče­lom bo­lo na­pad­núť po­čí­ta­če osôb pra­cu­jú­cich v ar­má­de.

Op­ra­va za­tiaľ nie je na doh­ľad

Mic­ro­soft za­tiaľ nez­ve­rej­nil žiad­nu bliž­šiu in­for­má­ciu, či v tom­to prí­pa­de uvoľ­ní mi­mo­riad­nu zá­pla­tu mi­mo tra­dič­né­ho cyk­lu op­ráv, kto­ré by pri­pa­da­li až na 11. Mar­ca, a tak by pou­ží­va­te­lia bo­li ne­chrá­ne­ní eš­te ďal­šie tri týž­dne. Pri­tom už feb­ruáro­vý ba­lík zá­plat Mic­ro­sof­tu pri­nie­sol do­ved­na 15 op­ráv pre IE10 - tie tam bo­li do­da­né tak­po­ve­diac na pos­led­nú chví­ľu, keď Mic­ro­soft sti­hol do­kon­čiť ich tes­ty tes­ne pred uvoľ­ne­ním ak­tua­li­zá­cie.

Pod­sta­ta zra­ni­teľ­nos­ti by si však žia­da­la čo naj­rý­chlej­šiu ak­ciu a ri­zi­ká sú v tom­to prí­pa­de enor­mné. Naj­mä fir­my by ma­li skon­tro­lo­vať, či ne­ma­jú vo svo­jej sie­ti po­čí­ta­ča s IE9 ale­bo IE10, a ak ich z ne­ja­ké­ho dô­vo­du ne­mô­žu ak­tua­li­zo­vať na nov­šiu ver­ziu, po­tom tre­ba dať za­mes­tnan­com k dis­po­zí­cii al­ter­na­tív­ny pre­hlia­dač. Pri­naj­men­šom do uvoľ­ne­nia op­ra­vy.

Zdroj: ICT ma­na­žer


Ohodnoťte článok:
 
 
 

24 hodín

týždeň

mesiac

Najnovšie články

Chro­me vás bu­de chrá­niť pred fa­loš­ný­mi tla­čid­la­mi na sťa­ho­va­nie
Google oznámil, že služba Safe Browsing v rámci Chromu bude označovať weby, ktoré používajú sociálne inžinierstvo, ako sú napr. falošné tlačidlá na download, podvodné aktualizácie či reklamy šíriace malvér. čítať »
 
Mo­zil­la to vzda­la, OS Fi­re­fox kon­čí. Viac ju za­ují­ma IoT
Decembrové oznámenie o prerušení vývoja ukončilo štvorročné snaženie o vytvorenie operačného systému založeného na prehliadači. Namiesto toho však spoločnosť plánuje sústrediť svoje sily na projekt do budúcnosti zaujímavejší - do internetu vecí. čítať »
 
Naj­nov­šiu ver­ziu OS An­droid Mar­shmallow za­tiaľ ne­pou­ží­va tak­mer nik­to
Pre niekoho to možno bude znieť prekvapivo, no najnovšia verzia OS Android zatiaľ nezažíva obrovský nárast počtu inštalácií. Najmä v porovnaní so štatistikami z minulosti. čítať »
 
Lib­reOf­fi­ce On­li­ne pod­po­ru­je spo­lup­rá­cu na do­ku­men­toch v reál­nom ča­se. Má to však há­čik
Vo webovom kancelárskom balíku LibreOffice Online pribudlo množstvo nových funkcií. Hlavnou novinkou je spolupráca viacerých používateľov na rovnakom dokumente v reálnom čase. čítať »
 
Mic­ro­soft ku­pu­je Swif­tKey. Ob­ľú­be­ná mo­bil­ná klá­ves­ni­ca bu­de dos­tup­ná už aj pre Win­dows
SwiftKey, azda najpopulárnejšia klávesnicová aplikácia pre mobilné telefóny a tablety, viac nebude k dispozícii výlučne len pre systémy Android a iOS. čítať »
 
Pou­ží­va­te­lia Win­dows 7 a 8.1, prip­rav­te sa! Win­dows 10 sa vám stiah­ne auto­ma­tic­ky
Microsoft začína Windows 10 sťahovať automaticky ako odporúčanú aktualizáciu. Podľa spoločnosti táto zmena nastane od pondelka a bude aplikovaná v niekoľkých fázach. čítať »
 
Gri­ma­sy, sel­fie fot­ky, slov­né hrač­ky – aj ta­ké mô­že byť ran­né vstá­va­nie s ap­li­ká­ciou Mi­mic­ker Alarm
Aj vy patríte k tým nešťastníkom, pre ktorých neexistuje nič horšie ako ranné vstávanie? Potom vás istotne zaujme nový vynález z dielne Microsoftu. čítať »
 
Fi­re­fox 44 bu­de pod­po­ro­vať push ozná­me­nia. Web vás sám upo­zor­ní na no­vin­ky
Nová aktualizácia prehliadača Firefox pre Windows, Mac, Linux a Android umožní používateľom dozvedieť sa o novinkách na ich obľúbených webových stránkach aj vtedy, ak ich nebudú mať otvorené. čítať »
 
 
 
  Zdieľaj cez Facebook Zdieľaj cez Google+ Zdieľaj cez Twitter Zdieľaj cez LinkedIn Správy z RSS Správy na smartfóne Správy cez newsletter