Сообщается об очередной уязвимости нулевого дня IE

11.11.2013 | 10:20 Экономика

Эксперты по безопасности из компании FireEye обнаружили эксплойт нулевого дня для Internet Explorer,  размещенный на взломанном веб-сайте в Соединенных Штатах. Для смягчения действия атаки можно использовать EMET (служебную программа, которая предотвращает эксплуатирование уязвимостей).

Исследователи из компании сетевой безопасности FireEye обнаружили эксплойт нулевого дня для Internet Explorer на взломанном веб-сайте.

Конкретный эксплойт направлен на английские версии Internet Explorer 7 и 8 на Windows XP и IE8 на Windows 7. Анализ FireEye показывает, что уязвимость, используемая в эксплойте,  затрагивает IE 7, 8, 9 и 10.

FireEye ничего не сказала про IE10 на Windows 8 и проверяли ли они IE11.
Существуют две уязвимости, используемые при нападении: первая уязвимость раскрытия информации, которую использует эксплойт для получения временной метки из PE-заголовков файла msvcrt.dll (части библиотеки Microsoft Visual C++). Вторая касается доступа за пределы области памяти в IE и используется для исполнения кода.

Распространено много версии msvcrt.dll, поэтому эксплойт посылает временную метку обратно на сервер злоумышленника, который возвращает экспойт обращения доступа за пределы области памяти для конкретной версии файла пользователя.

FireEye  говорит, что эксплойт содержит «ROP-цепь». ROP – техника Возвратно-ориентированного программирования, заблокированная технологией  Address Space Layout Randomization (ASLR), введенной в Windows Vista (версии Windows, о которой ничего не сказала FireEye). Этот эксплойт работает на Windows XP, что не удивительно, а вот то, что он работает на Windows 7 является необычным.

В докладе ничего не говорится о коммерческой нагрузке, кроме того, что она большая и многоступенчатая.

FireEye продолжает исследовать атаку вместе с Microsoft. В докладе говорится, что уязвимость может быть смягчена с помощью Enhanced Mitigation Experience Toolkit (EMET) 4.0, по-видимому исправляющего файл msvcrt.dll. Будьте осторожны, так как вы, вероятно, имеете несколько копий  этого DLL-файла в системе.