Microsoft: IE5, IE6 Også påvirket af Browser Vulnerability

En ubundtet sårbarhed, der findes i Internet Explorer 7, påvirker også ældre versioner af browseren og den nyeste betaversion, advarede Microsoft torsdag.

De nye oplysninger udvider brugerbassin hvem der kunne være i fare for at blive ved at blive inficeret med ondsindet software installeret på deres pc, da Microsoft endnu ikke har en patch klar.

Microsoft bekræftede i en rådgivende opdatering torsdag, at IE 5.01 med Service Pack 4, IE6 med og uden Service Pack 1 og IE8 Beta 2 på alle versioner af Windows-operativsystemet er potentielt sårbare.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

Også sårbare er brugere, der kører IE7 på Windo ws XP Service Pack 2 og 3, Windows Server 2003 Service Pack 1 og 2, Windows Vista med og uden Service Pack 1 og Windows Server 2008.

Virksomheden afklarede, hvad problemet er med browseren efter modstridende rapporter fra computerens sikkerhedsselskaber.

"Sårbarheden eksisterer som en ugyldig pointerreference i Internet Explorer 'databindingsfunktion", ifølge rådgivningen. "Når data-binding er aktiveret (som er standardtilstanden), er det under bestemte betingelser muligt for et objekt at blive frigivet uden at opdatere array længden, hvilket giver potentialet adgang til det slettede objektets hukommelsesplads. Dette kan medføre, at Internet Explorer afslutter uventet i en tilstand, der kan udnyttes. "

Microsoft sagde, at det kun har set begrænsede angreb rettet mod fejlen i IE7. Sikkerhedsanalytikere har imidlertid sagt, at det ser ud til, at et stigende antal websteder bliver bygget, der kan udnytte sårbarheden.

Problemet er særligt alvorligt, da brugerne i nogle tilfælde kun skal se et websted for at få en trojansk hest Programmet downloades automatisk til deres maskine. En gang på en pc kan hackeren instruere programmet til at downloade anden dårlig software og udføre handlinger som at sende spam og stjæle data.

Microsoft skitserede på flere forskellige måder, at folk kan reducere chancen for at blive offer, afhængigt af hvad version af browseren og operativsystemet, de bruger. Sikkerhedsbrandløsningen er nu at bruge en anden browser, indtil Microsoft retter den.

Microsoft udsteder regelmæssigt patches den anden tirsdag i måneden, men har været kendt for at frigive det, der kaldes en out-of-band-patch, hvis trussel anses for alvorlig nok. Microsoft siger ikke, om det vil gøre det og har tendens til blot at løsne løsningen.

Den næste planlagte patchdag er den 13. januar, hvilket betyder, at angribere vil have mindst en måned at inficere så mange computere som muligt, hvis Microsoft planlægger at udsted en patch for fejlen den dag.

Oplysninger om sårbarheden opstod først i Kina-regionen. En kinesisk sikkerhedstøj, kaldet knownsec, har sagt, at det hørte rygter om kode, der cirkulerer i underjordiske kriminelle markeder tidligere i år. Det antages at exploit kode blev solgt på et tidspunkt for så meget som US $ 15.000.

Software sårbarheder er yderst værdifulde for cyberkriminelle, da fejlene kan bruges til at stjæle kreditkortoplysninger og andre økonomiske data.

I løbet af de sidste par år har Microsoft sporet sin forbedrede rekord på computersikkerhed, men har stadig været belastet af nye opdagelser af fejl i ældre software.