Rilascio di Metasploit IE Attack, ma è inaffidabile

Gli sviluppatori del toolkit di test di penetrazione Metasploit open source hanno rilasciato codice che può compromettere il browser Internet Explorer di Microsoft, ma il software non è affidabile come inizialmente pensato.

Il codice sfrutta un bug di Internet Explorer che è stato divulgato lo scorso venerdì in un attacco proof-of-concept pubblicato nella mailing list di Bugtraq. Quel primo codice era inaffidabile, ma gli esperti di sicurezza temevano che qualcuno avrebbe presto sviluppato una versione migliore che sarebbe stata adottata dai cyber-criminali.

L'attacco originale usava una tecnica di "heap-spray" per sfruttare la vulnerabilità di IE. Ma per un po 'di mercoledì, sembrava che il team di Metasploit avesse rilasciato un exploit più affidabile.

[Ulteriori letture: Come rimuovere il malware dal PC Windows]

Hanno usato una tecnica diversa per sfruttare il difetto, uno Pioniere dai ricercatori Alexander Sotirov e Marc Dowd, ma alla fine Metasploit ha estratto il suo codice.

"Il bug in sé non è affidabile", ha detto lo sviluppatore di Metasploit HD Moore in un messaggio su Twitter mercoledì. Il codice Metasploit ha tentato di sfruttare il difetto in due modi, uno dei quali era "problematico" e l'altro era la tecnica di heap-spray che era già stata inefficace.

Microsoft ha detto via e-mail mercoledì pomeriggio che era "al momento inconsapevole di eventuali attacchi in natura utilizzando il codice exploit o di qualsiasi impatto sul cliente."

Questa è una buona notizia per gli utenti di IE, poiché un attacco affidabile potrebbe colpire molte persone. Le due versioni del browser vulnerabili alla vulnerabilità - IE 6 e IE 7 - sono utilizzate da circa il 40% dei navigatori Web.

La società ha emesso un Advisory sulla sicurezza che offre soluzioni alternative per evitare il difetto. Secondo Microsoft, il nuovo browser IE 8 non ne è influenzato.

Il difetto sta nel modo in cui IE recupera alcuni oggetti CSS (Cascading Style Sheet), usati per creare un layout standardizzato sulle pagine Web. Gli utenti IE interessati possono aggiornare il proprio browser o disabilitare JavaScript per evitare un attacco.