L'azienda rilascia un aggiornamento al di fuori del consueto appuntamento mensile per sanare un  problema di vulnerabilità utilizzato nelle ultime settimane per produrre una serie di attacchi attraverso il browser.

Ieri sera, Microsoft ha distribuito il secondo aggiornamento out-of-band (termine con cui l'azienda identifica le operazioni al di fuori degli standard di distribuzione mensili) degli ultimi tre mesi. Microsoft ha infatti messo di corsa a disposizione un aggiornamento per un problema di Internet Explorer che è stato utilizzato, nelle ultime 2 settimane, per avviare una serie di attacchi a network, ivi compresi quelli di Google e Adobe.

Si tratta di aggiornamenti destinati alla versione 6 e 7 di IE; approfittando dell'occasione, l'azienda ha anche distribuito una serie di aggiornamenti cumulativi che sanano alcune vulnerabilità riportate nelle ultime 3 settimane, tutte definite "critiche" nel comunicato che annuncia e accompagna l'aggiornamento stesso.

Le prime notizie, comunque, del bug principale erano circolate già alla fine del mese scorso ed erano state comunque riconosciute ufficialmente da Microsoft, che aveva messo in guardia gli utenti di IE 6 e 7 dall'eseguire alcune particolari operazioni (“don’t press F1 key”), riferendo comunque che la versione 5 e la versione 8 del browser risultavano esenti.

Come al solito, Microsoft ha minimizzato inizialmente il problema definendolo “targeted”, termine adoperato per descrivere attacchi su piccola scala.

L'evidenza dei fatti ha però dato torto a questa affermazione, in quanto, in due  giorni, diversi hacker hanno utilizzato la vulnerabilità per avviare attacchi “drive-by” a siti maligni, come ha dimostrato un ricercatore israeliano che, peraltro, ha pubblicato il codice di exploit su Internet.

L'annuncio dell'aggiornamento fuori calendario ha colto di sorpresa gli osservatori. Un ricercatore di Qualys ha riferito che era opinione comune che il patch sarebbe stato rilasciato in concomitanza con l’aggiornamento periodico e che la fretta dimostrata da Microsoft nel correre ai ripari con un update straordinario, mezzo questo cui l'azienda ha ricorso raramente, evidenzia come il problema sia stato, alla fine, riconosciuto come particolarmente grave e degno di un intervento immediato.

Andrew Storm, direttore della sezione sicurezza di nCircle Network Security, ha ipotizzato che l'iniziativa di rilasciare questo upgrade fuori calendario, comprendente tra l'altro diversi patch, sia dovuto a una stretta osservazione da parte di Microsoft del fenomeno, che deve aver probabilmente verificato una notevole crescita degli attacchi negli ultimi giorni.

La distribuzione è stata avviata ieri sera, alle ore 22, ora italiana.

Fonte:ZD Net ASIA http://www.zdnetasia.com/microsoft-warns-of-zero-day-ie-hole-on-patch-tuesday-62061747.htm