Prima grave falla per Internex Explorer 9, l’ultimo browser lanciato da Microsoft.
A individuarla sarebbe stata la società di sicurezza informatica francese Vupen, secondo la quale la vulnerabilità di IE 9 permetterebbe ai malintenzionati di evitare tutte le misure di sicurezza utilizzate in Windows (ASLR e DEP), oltre alla sandbox (“Protected Mode”).
Gli sviluppatori francesi hanno classificato il codice exploit come “affidabile”, a dimostrazione di come il problema sia reale e da risolvere perchè in grado di creare problemi anche agli utenti che utilizzano i sistemi più aggiornati.
“Sono state sfruttate due vulnerabilità distinte – spiega Chaouki Bekra, Ceo di Vupen – La prima consente l’esecuzione di codice arbitrario all’interno della sandbox di IE9. La seconda, invece, permette di bypassare la sandbox così da ottenere la possibilità di eseguire il codice nel contesto del sistema operativo”.
Per il momento, comunque, gli utenti possono stare tranquilli: Vupen non ha reso pubblico il codice exploit e altri simili non sono stati individuati in rete, pertanto la vulnerabilità rimane un affare da risolvere tra la società francese e Microsoft.
In tal senso dall’azienda transalpina assicurano “l’accesso ai nostri codici ed alle nostre approfondite analisi tecniche è limitato ai nostri clienti governativi che utilizzano tali informazioni per proteggere le proprie infrastrutture di importanza strategica”.
Qualche informazione, comunque, circola: la vulnerabilità sarebbe presente non solo in IE9, bensì anche nelle versioni precedenti, e sarebbe causata da un bug presente nella libreria mshtml.dll. Trovandosi a gestire una specifica combinazione di codice HTML e JavaScript, tale file fungerebbe da appiglio per eventuali attacchi.
