Internet Explorer: nuova falla, nessuna patch

Con il Security Advisory (980088) Microsoft torna a lanciare un nuovo allarme nei confronti di Internet Explorer. Il browser si appresta pertanto a nuove settimane di difficoltà dopo che l’ultimo mese ha già visto il browser al centro della vicenda cinese e delle accuse di Google relative ad un bug sfruttato dai cracker di regime.

Secondo quanto descritto da Microsoft nella propria scheda, un utente esterno è in grado di accedere da remoto ai file depositati sul sistema. Due i requisiti necessari: la conoscenza dell’indirizzo esatto del file e la previa disattivazione della Protected Mode (attiva di default da Windows Vista in poi). Coinvolte dal problema tutte le versioni di Internet Explorer, a partire dalla 5.01 su Windows 2000 fino a Internet Explorer 8 su Windows 7. Il problema è però ovviamente moltiplicato su Windows XP, ove girano nella maggior parte dei casi versioni vetuste di IE e dove la modalità protetta non è un’opzione predefinita del sistema.

Entro poche ore Microsoft diramerà i dettagli relativi agli aggiornamenti di sicurezza previsti per il Patch Day del mese di Febbraio (previsto per Martedì 9). Alla luce del bollettino odierno è chiaramente presumibile che il gruppo non rilascerà una patch dedicata direttamente nella tornata tradizionale di update, dunque le possibilità sono due: se il problema continuerà a rimanere circoscritto, senza l’incorrere di veri attacchi che possano estendersi su larga scala, la patch rimarrà senza una soluzione almeno fino al Patch Day di Marzo; se il problema dovesse aggravarsi improvvisamente a causa di un exploit pubblico che trova applicazione, invece, è possibile un aggiornamento out-of-cycle, sulla falsa riga di quanto già sperimentato nel mese di Gennaio per risolvere il più discusso dei bug del browser.

In attesa di soluzioni definitive Microsoft ha comunque sviluppato una soluzione che permetterà agli utenti di Windows XP di mettersi al riparo da ogni problema. L’implementazione del Network Protocol Lockdown, infatti, è automatizzata grazie alla funzione “FixIt“ che, con un semplice click, mette il sistema nelle condizioni di isolare un eventuale attacco rendendolo sostanzialmente innocuo.