Alcune fonti in Rete segnalano una vulnerabilità che interessa Microsoft Internet Explorer 8 in grado di consentire ad un attaccante remoto di scaricare un file di tipo Windows HELP appositamente predisposto per eseguire codice arbitrario nel contesto di sicurezza dell'utente che ha avviato l'applicazione vulnerabile. I file Help di Windows sono noti da tempo per essere uno dei vettori preferiti per inoculare malware o sferrare attacchi a causa dell'insicurezza intrinseca di questa tipologia di file e del relativo funzionamento con il sistema operativo fino a Widnows XP. In Windows 7 e Windows Vista, infatti, non è più previsto il supporto di tali tipi di file.

Risulta, inoltre, che la vulnerabilità possa essere sfruttata anche attraverso un sito web appositamente predisposto se l'utente una volta connesso alla pagina preme il tasto di aiuto F1 per richiamare proprio la funzione di aiuto che invoca quei particolari tipi di file. Si raccomanda pertanto di aggiornare le regole dei firewall e analizzare il traffico sulle porte 135 e 445.

Ulteriori dettagli sono disponibili presso le seguenti URL: http://isec.pl/vulnerabilities/isec-0027-msgbox-helpfile-ie.txt

Aggiornamento

In relazione alla modalità di sfruttamento della vulnerabilità in uno scenario web è stato pubblicato in Rete un exploit di tipo Proof-of-Concept (PoF) che sfrutta proprio la funzione di aiuto richiamata tramite il pulsante F1. Microsoft ha pubblicato l'avviso di sicurezza 981169 per confermare l'esistenza della vulnerabilità e pertanto sono disponibili ulteriori dettagli tecnici. Risulta, infatti, che la vulnerabilità si manifesta quando un VSCRIPT è invocato da Internet Explorer sui sistemi Windows 2000, XP e Server 2003. Come indicato in precedenza, invece, le piattaforme Windows 7, Vista, Server 2008 e Server 2008 R2 non sono interessate dalla vulnerabilità. Un attaccante in grado di sfruttare la vulnerabilità può eseguire codice arbitrario nel contesto di sicurezza dell'utente che ha avviato l'applicazione.  Si raccomanda gli utenti, dunque, di non seguire link verso siti web che invitino a premere il pulsante F1 all'interno di pagine web o ad aprire file con estensioni HLP ed in genere altri file sospetti non richiesti., o inaspettati o provenienti da fonti non affidabili.

Ulteriori dettagli sono disponibili presso le seguenti URL:

• http://www.microsoft.com/technet/security/advisory/981169.mspx
• http://blogs.technet.com/msrc/archive/2010/03/01/security-advisory-981169-released.aspx