Microsoft: IE5, IE6 Også påvirket av sikkerhetsproblemet i nettleseren

Et unpatched sikkerhetsproblem funnet i Internet Explorer 7 påvirker også eldre versjoner av nettleseren, samt den nyeste betaversjonen, varslet Microsoft torsdag.

Den nye informasjonen utvider brukerbassenget som kan være utsatt for å bli smittet med skadelig programvare installert på PCen, da Microsoft ikke har en oppdateringspakke.

Microsoft bekreftet i en rådgivende oppdatering på torsdag at IE 5.01 med Service Pack 4, IE6 med og uten Service Pack 1 og IE8 Beta 2 på alle versjoner av Windows-operativsystemet, er potensielt sårbare.

[Videre lesing: Slik fjerner du skadelig programvare fra din Windows-PC]

Også sårbare er brukere som kjører IE7 på Windo WS XP Service Pack 2 og 3, Windows Server 2003 Service Pack 1 og 2, Windows Vista med og uten Service Pack 1 og Windows Server 2008.

Selskapet klargjort hva problemet er med nettleseren etter at motstridende rapporter fra datasikkerhetsselskaper.

"Sårbarheten eksisterer som en ugyldig pekerenavn i datobindingsfunksjonen til Internet Explorer," ifølge rådgivningen. "Når datainnbinding er aktivert (som er standardtilstanden), er det mulig under visse forhold at et objekt kan slippes uten oppdatering av array lengden, slik at potensialet får tilgang til det slettede objektets minneplass. Dette kan føre til at Internet Explorer avslutter uventet, i en tilstand som er utnyttbar. "

Microsoft sa at den bare har sett begrensede angrep rettet mot feilen i IE7. Sikkerhetsanalytikere har imidlertid sagt at det ser ut til at flere og flere nettsteder blir bygget som kan utnytte sikkerhetsproblemet.

Problemet er spesielt alvorlig, siden brukerne i enkelte tilfeller bare må vise et nettsted for å kunne ha en trojansk hest Programmet lastes ned automatisk til maskinen. En gang på en PC kan hackeren regissere programmet for å laste ned annen dårlig programvare og utføre handlinger som å sende spam og stjele data.

Microsoft skisserte på rådgivende måter at folk kan redusere sjansen for å falle offer, avhengig av hva versjon av nettleseren og operativsystemet de bruker. Men sikkerhetsbrannløsningen er nå å bruke en annen nettleser til Microsoft retter den.

Microsoft utsteder regelmessig oppdateringer på den andre tirsdag i måneden, men har vært kjent for å frigjøre det som kalles en out-of-band-patch hvis trusselen anses som alvorlig nok. Microsoft sier ikke om det vil gjøre det og har en tendens til å bare slippe løsningen.

Den neste planlagte oppdateringsdagen er 13. januar, noe som betyr at angriperne vil ha minst en måned å infisere så mange datamaskiner som mulig dersom Microsoft planlegger å utsted en oppdatering for feilen den dagen.

Informasjon om sikkerheten oppstod først i Kina-regionen. En kinesisk sikkerhetsutstyr, kalt knownsec, har sagt at det hørte rykter om kode som sirkulerer i underjordiske kriminelle markeder tidligere i år. Det antas at brukskoden ble solgt på ett tidspunkt for så mye som 15 000 dollar.

Programvare sårbarheter er svært verdifulle for cyberkriminelle, siden feilene kan brukes til å stjele kredittkortdetaljer og annen økonomisk data.

I løpet av de siste par år har Microsoft spilt ut sitt forbedrede rekord på datasikkerhet, men har fortsatt blitt belastet av nye funn av feil i eldre programvare.