HP wykrył i upublicznił podatności w przeglądarce Internet Explorer

Internet Explorer nadal pozostaje jedną z najczęściej wybieranych przeglądarek na świecie. Jest to jednocześnie preinstalowana i domyślna przeglądarka dla systemów Windows i Windows Phone, co czyni ją szczególnym celem dla hakerów. Specjaliści bezpieczeństwa z HP odkryli 4 luki bezpieczeństwa, które - jak twierdzą - występują nie tylko w mobilnych, ale i w pozostałych wersjach przeglądarki.

Jedna z czterech podatności została przedstawiona na listopadowym konkursie Pwn2Own Mobile i zgłoszona Microsoftowi. HP ma w zwyczaju ujawniać podatności typu 0-day po 90 dniach od ich odkrycia. W tym przypadku Microsoft poprosił o wydłużenie czasu na stworzenie poprawki, niemniej jednak termin upłynął, a podatność została niezałatana. Trzy pozostałe podatności zostały zgłoszone w styczniu i... spotkał je taki sam los. Wszystkie podatności, odkryte przez HP TippingPoint, umożliwiają zdalne wykonanie kodu na urządzeniu, którego użytkownik odwiedził spreparowaną witrynę internetową, zawierającą złośliwy kod. Dotyczy to nawet urządzeń z najświeższą wersją Internet Explorera.

Choć podatności zostały zgłoszone już ponad pół roku temu, Microsoft do tej pory nie wypuścił odpowiednich łatek. Przedstawiciele firmy przyznają, że są "świadomi [treści] raportów, dotyczących Internet Explorera dla Windows Phone", niemniej jednak "żadne ataki nie zostały zgłoszone". Do czasu wrześniowej aktualizacji Windows 10 Mobile większość użytkowników "Mobilnych Okienek" pozostanie przy IE. Ich smartfony pozostaną narażone na ataki, o ile Microsoft szybko nie opracuje poprawki.

Nie jest to pierwsza sytuacja, gdy Microsoft - tłumacząc to niskim poziomem zagrożenia - odmawia lub znacząco opóźnia wypuszczenie poprawek dla znalezionych podatności. Ryzyko ataku znacząco się zwiększa, gdy odkryta przez uczciwego badacza luka zostanie w końcu upubliczniona. Microsoft liczy, że większość użytkowników przesiądzie się wkrótce na Windows 10 i dołączoną do niego przeglądarkę Edge. Została ona stworzona od podstaw i posiada znacznie wyższy poziom bezpieczeństwa niż IE.