Adakah Internet Explorer bocor maklumat sensitif?

Spider.io, sebuah syarikat dalam perniagaan membantu pelanggan membezakan antara pelawat laman web sebenar manusia dan aktiviti bot automatik, mendakwa telah menemui kecacatan yang menjejaskan Internet Explorer pelayar perdana semasa dari Microsoft, versi 6 hingga 10. Kerentanan dilaporkan membolehkan kedudukan kursor tetikus untuk dikesan di mana sahaja ia berada di skrin-walaupun IE diminimumkan.

Spider.io mendedahkan kerentanan kepada Microsoft pada 1 Oktober 2012, tetapi ia tidak ditangani dalam kemas kini keselamatan terkini untuk Internet Explorer. Spider.io menegaskan bahawa kecacatan sedang dieksploitasi secara aktif, dan mendakwa Pusat Penyelidikan Keselamatan Microsoft (MSRC) telah mengakui kerentanan itu, tetapi tidak mempunyai rencana segera untuk menambalnya.

[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari Windows anda PC]

Sesuatu bug di IE mungkin bocor maklumat berpotensi sensitif

Saya meminta Microsoft untuk kedudukannya mengenai kelemahan yang dikatakan itu. Seorang jurucakap menghantar saya respon rasmi ini: "Kami sedang menyiasat isu ini, tetapi sehingga kini tidak ada laporan eksploit aktif atau pelanggan yang telah terjejas teruk. Kami akan memberikan maklumat tambahan apabila ia tersedia dan akan mengambil tindakan yang sesuai untuk melindungi pelanggan kami. "

Jason Miller, pengurus penyelidikan dan pembangunan untuk soalan VMware sama ada isu itu adalah" bug "atau" ciri ". "Orang boleh mempersoalkan sama ada ini adalah kelemahan atau ciri yang diperkenalkan ke dalam penyemak imbas untuk membantu mewujudkan metrik penggunaan. Walau apa pun, penyelidik telah membuktikan bahawa "masalah" ini boleh digunakan secara berniat jahat. "

Saya bercakap dengan Qualys CTO Wolfgang Kandek. Beliau menyatakan kebimbangan mengenai implikasi yang mungkin berlaku untuk perbankan dalam talian. Banyak bank telah melaksanakan papan kekunci maya di skrin untuk memasukkan bukti kelayakan akaun sebagai cara untuk menghindari serangan keylogger tradisional.

Andrew Storms, pengarah operasi keselamatan untuk nCircle, bersetuju. "Eksploitasi ini menjadikan pembasmian itu batal dan tidak sah - ia mempunyai kesan logger utama pada papan kekunci maya. Penyerang mungkin berpotensi menangkap klik yang berkaitan dengan kelayakan perbankan menggunakan eksploit ini dan itu bukan berita baik untuk 63 juta orang Amerika yang bank dalam talian. "

Alex Horan, pengurus produk kanan di CORE Security, menambahkan laman web yang kononnya" selamat " mungkin tidak begitu selamat. "Ia juga memperkuat bahawa hanya kerana anda melawat YouTube atau New York Times tidak bermakna semua kandungan di laman web itu dimiliki atau diuruskan oleh mereka-menyiarkan iklan berniat jahat pada laman utama yang dipercayai adalah cara yang baik untuk mendedahkan serangan anda kepada jumlah pengguna yang besar. "

Horan mencadangkan untuk meninggalkan IE sehingga atau melainkan masalah itu ditampal oleh Microsoft.

Ribut mengatakan," Jika kelemahan ini disahkan, ia mempunyai potensi untuk menghendaki patch keluar-band dan itu sesuatu yang semua orang mahu mengelakkan musim cuti ini. "