Nie tak dawno miała miejsce oficjalna premiera nowej wersji przeglądarki Microsoftu - Internet Explorer 8. Wprowadzono w niej wiele ulepszeń zwiększających bezpieczeństwo, które od dawna jest wytykane producentowi jako słabe i niedostosowane do realiów Internetu. Zmiany obejmują, między innymi, lepsze wykrywanie ataków phishingowych oraz witryn naruszających prywatność użytkowników. Ósma wersja Internet Explorera wyposażona jest także w zabezpieczenia przeciwko atakom typu XSS wykrywające szkodliwy kod na witrynach a także w funkcję DEP chroniącą system przed skutkami ataków szkodników.

Niestety nawet najlepsze zabezpieczenia nie pomogą, jeżeli sama przeglądarka będzie posiadała luki, pozwalające na wykonanie kodu i przejęcie kontroli nad komputerem. Nie trzeba było długo czekać, aby usłyszeć o luce w IE8. Na domiar złego, została ona określona przez Microsoft jako krytyczna.

Wszystko zaczęło się od zawodów PWN2OWN, odbywających się w ramach cyklu konferencji CanSecWest. Uczestnicy turnieju mieli za zadanie złamać zabezpieczenia w znanych przeglądarkach, aby przejąć kontrolę nad komputerem. W wypadku Internet Explorera 8 była to jeszcze beta, ponieważ wersja finalna pojawiła się później. Jeden z uczestników wykorzystał do ataku nieznaną wcześniej lukę i przejął w ten sposób kontrolę nad maszyną. Wszystkiemu przyglądali się uważnie pracownicy Microsoftu. Po konferencji, firma zaczęła szczegółowe analizowanie dziury. Okazało się, że błąd występuje także w wersji finalnej.

Na dzień dzisiejszy nie wiadomo wiele na temat nowo odkrytego zagrożenia. Pewne jest, że użycie tej luki jest stosunkowo łatwe. Wystarczy bowiem przekonać użytkownika do kliknięcia zainfekowanego odnośnika by system padł ofiarą atakującego.

"Wystarczy jedno kliknięcie. Możesz kliknąć adres w mailu lub przeglądarce, a Twój komputer zostanie wykorzystany przez exploita."

Tak sytuację skomentowała Terri Forslof z firmy Tipping Point, sponsorującej konkurs PWN2OWN.

Należy zatem pamiętać o uruchomieniu w systemie usługi "Aktualizacje automatyczne", dzięki której poprawka dla Internet Explorera 8 na wyżej wymienioną lukę zostanie zainstalowana automatycznie, krótko po jej udostępnieniu. Zmniejszymy w ten sposób ryzyko na przeprowadzenie ataku. Nie powinniśmy także zwlekać z uaktualnieniem Internet Explorera 7 oraz sędziwego, lecz wciąż jeszcze używanego Internet Explorera 6, do wersji ósmej.