Az Internet Explorer 9 jobban bírta volna?

A múlt héten megrendezésre került Pwn2Own hekkerversenyen webböngészőknek és okostelefonoknak kellett állniuk a sarat. A megmérettetés első napján a Safari és az Internet Explorer 8 is áldozatául esett a résztvevők támadásainak. Az okostelefonok esetében pedig az iPhone 4 és a BlackBerry Torch 9800 került leginkább célkeresztbe, de nem tudtak különösebb ellenállást kifejteni a támadásokkal szemben. Mindkét készüléket sikerült feltörni.

A Pwn2Own sajátossága, hogy a versenyzők az általuk kihasznált sérülékenységekről nem számolhatnak be a nyilvánosság előtt, és a technikai információkat maradéktalanul át kell adniuk a versenyt szervező TippingPointnak. A TippingPoint pedig értesíti az érintett gyártókat a hibákról, és hat hónapos türelmi időt ad a biztonsági rések befoltozására, mielőtt közzétenné a sérülékenységek részleteit.

Áldozatok között az Internet Explorer 8

Az Internet Explorer 8-as verzióját elsőként egy Stephen Fewer nevű biztonsági kutatónak sikerült térdre kényszerítenie. A szakember azonban nem egy, hanem összesen három sebezhetőséget használt ki annak érdekében, hogy az összes addigi biztonsági hibajavítást tartalmazó Windows 7 operációs rendszeren kódot tudjon futtatni. Ehhez azt is el kellett érnie, hogy a Protected Mode (Védett mód) által nyújtott védelmi vonalon át tudjon törni, de ez sem jelentett számára akadályt.

A Microsoft a hekkelés után azonnal elkezdte kivizsgálni a sérülékenységet, és megállapította, hogy az az Internet Explorer legújabb, 9-es verziójának esetében nem jelent kockázatot. Azt azonban nem közölte, hogy a böngészők régebbi verzióin mikor foltozza be a biztonsági rést. Egyes feltevések szerint erre az áprilisi hibajavító kedden fog sor kerülni.

Kihasználhatóvá vált egy kéthónapos hiba is

Noha a Microsoft által januárban bejelentett MHTM (Mime HTML) kezelési hiba nem közvetlenül az Internet Explorert érinti, mégis fontos megjegyezni, hogy a sérülékenység egyre intenzívebben kerül kihasználásra elsősorban az Internet Exploreren keresztül. A Google jelezte, hogy a biztonsági rés mind több ártalmas weboldal esetében kap szerepet. A Microsoft korábban már kiadott egy olyan eszközt, amelynek segítségével csökkenthetők a kockázatok, azonban a végleges frissítés megjelenésének időpontját még nem közölte.