Internet Explorer Strikes Again

Qualche mese fa, fine maggio 2005, e' stata resa nota pubblicamente una vulnerabilità di Internet Explorer, causata da uno scorretto uso della funzione window() in Javascript.
CAN-2005-1790
Al tempo colui che scoprì la vulnerabilità, in collaborazione Microsoft, si limitò a verificare che la vulnerabilità producesse solo un Denial of Service, per la precisione un crash di Internet Explorer.
Microsoft decise di non sviluppare un fix, dando di fatto poca o punto importanza alla vulnerabilità.

E' di ieri l'annuncio da parte di Microsoft che la vulnerabilità non solo permette di crashare IE, ma addirittura di eseguire codice arbitrario (il proof of concept esegue calc.exe, ma potrebbe benissimo cancellare file o eseguire una shell remota).

Si tratta quindi di una vulnerabilità ben più grave di quanto si pensasse.

E' ora di correre ai ripari e Microsoft ancora non ha rilasciato una patch.
Ed in più fa uscire un advisory in cui consiglia i seguenti workaround:

• Fate attenzione a dove cliccate col mouse


• Se credete di essere stati vittime di questa vulnerabilità chiamate il nostro servizio di supporto


• Installate un firewall ed un antivirus


• visitate il sito Microsoft Security


• Applicate tutti gli aggiornamenti disponibili

Di fatto una mia win2000 box che scarica gli aggiornamenti tutti i giorni, ancora non ha ricevuto un update che elimini questa vulnerabilità vecchia di 5 mesi.

Non ho parole!

Questo è il link dell'Advisory