[English readers: English links in the reference list at the end of this post]

Come riportato dal post di ieri del MSRC, si sta attivamente operando l’analisi di una possibile vulnerabilità in Internet Explorer che è stata resa pubblica venerdì scorso (credo tramite Twitter):

MSRC post: Investigating a new win32hlp and Internet Explorer issue

Non si ha evidenza di attacchi, che, nel caso, dovrebbero essere realizzati inducendo l’utente a navigare su pagine web malformate ad-hoc in modo da generare l’apertura di una finestra pop-up e di richiedere di premere il tasto F1. 

L’analisi condotta fino ad ora indica che la piattaforma interessata è solo Windows XP (quindi sono esclusi Windows Vista , Windows 7 e Windows Server 2008).

La vulnerabilità sembra legata all’uso di VBScript e dei file di Windows Help: quest’ultimi sono da tempo segnalati come file “Unsafe”, ossia in grado di essere utilizzati in modo improprio e pericoloso, come indicato nell’interessante whitepaper citata dallo stesso post MSRC:

Whitepaper: Understanding Executable Content in Microsoft Products

Mi aspetto che si pubblichi un nuovo Microsoft Security Advisory appena l’analisi sarà più completa e si avranno indicazioni più precise per il workaround:

stay tuned … and don’t click F1 if asked.

Aggiornamento del 2/3/2010: pubblicato il Microsoft Security Advisory 981169 su VBScript

Feliciano

Altri post/risorse correlate: