Microsoft ha detto oggi, agli utenti di Windows XP, che non è necessario premere il tasto F1 quando richiesto da un sito Web, si rischia una reazione ad una vulnerabilità senza patch che gli hacker potrebbero sfruttare per dirottare il vostro PC per chiusa Internet Explorer.
In un Security Advisory, rilasciata in ritardo, Microsoft ha confermato che il bug, senza patch, esiste in VBScript e che aveva trovato Maurycy Prodeus, ricercatore polacco, offrendo maggiori informazioni sulla falla e alcuni consigli su come proteggere i PC fino a quando non sarà realizzata una pacth ad hoc.
“La vulnerabilità esiste nel modo in cui VBScript interagisce con i file di Guida di Windows quando si utilizza Internet Explorer“, si legge la consulenza. “Se un sito Web dannoso viene visualizzato con una finestra di dialogo e un utente preme il tasto F1, il codice potrebbe essere eseguito nel contesto di protezione dell’utente attualmente connesso“.
La scorsa settimana, Prodeus ha trovato il bug per un difetto “logica”, e ha detto che gli aggressori possono sfruttare un codice maligno mascherato come un aiuto di file di Windows.
Windows 2000, Windows XP e Windows Server 2003 pare siano colpiti dal bug, inoltre tutte le versioni supportate di Internet Explorer (IE) su tali sistemi operativi – tra cui Internet Explorer 6 su Windows XP – potrebbero essere sfruttate da pirati informatici. Fino a quando una patch non sarà pronta, gli utenti possono proteggere se stessi non premendo il tasto F1 anche se viene consigliato da un sito. L’advisory di sicurezza fatto la stessa raccomandazione: “La nostra analisi mostra che, se gli utenti non si preme il tasto F1 sulla tastiera, la vulnerabilità non può essere sfruttata”.
Gli utenti possono anche ostacolare gli attacchi disabilitando la Guida di Windows. L’advisory spiega come entrare in una sola riga di comando al prompt dei comandi di Windows-line pronto a bloccare il Sistema d’aiuto.
La società ha dato a Prodeus il compito di rendere il pubblico bug, cosa che fa regolarmente, quando i ricercatori forniranno una vulnerabilità o prima che una patch sia disponibile. I clienti che utilizzano Windows Vista, Windows Server 2008, Windows 7 o Windows Server 2008 R2 sono al sicuro da questi attacchi, ha detto Microsoft.
