Microsoft brani browser hakovan na Pwn2Own: Nema baga u IE9

Vesti, 14.03.2011, 01:29 AM

Microsoft je u četvrtak saopštio da se u Internet Exporer-u 9 ne nalazi bag koji je iskoristio irski istraživač Stiven Fjuer na hakerskom takmičenju Pwn2Own održanom prošle nedelje na konferenciji CanSecWest u Vankuveru. On je, koristeći tri programska propusta, hakovao IE8, osvojivši novčanu nagradu od 15000 dolara i laptop Sony.

Ubrzo pošto je je objavljena vest o Fjuerovom uspehu, iz kompanije Microsoft su se oglasili saopštenjem da su započeli istragu o programskim propustima zahvaljujući kojima je hakovan njihov browser.

Međutim, u kompaniji kažu da neće biti zakrpe sa najnoviju verziju browser-a. “Ranjivost se odnosi na RC (release candidate) i RTW (release to the Web) verzije Interent Explorer-a 9,” kaže Džeri Brajant, menadžer u kompanijskom centru za bezbednost (Microsoft Security Response Center). To ažuriranje je već u pripremi kada je reč o starijim verzijama Internet Explorer-a.”

Microsoft je objavio RC verziju svog najnovijeg browser-a IE9 pre mesec dana, a pomenuta RTW verzija, biće dostupna korisnicima za preuzimanje od danas.

Međutim, s obzirom na poslednje podatke kompanije Net Applications koja se bavi statistikom na vebu, prema kojima je učešće IE9 na tržištu browser-a svega 1%, većina korisnika Microsoft-ovog browser-a, njih 99% koji koriste starije verzije browser-a (IE6, IE7, IE8) moraće da sačekaju objavljivanje najavljene zakrpe.

Iako je Brajant naglasio da je zakrpa za otkrivenu ranjivost u pripremi, iz kompanije su odbili da preciziraju tačan datum kada će propust biti ispravljen. S obzirom na dosadašnju praksu kompanije, verovatan datum objave zakrpe je 12. april, za kada je zakazan redovni mesečni paket zakrpa koje Microsoft objavljuje svakog drugog utorka u mesecu u okviru takozvanog “Patch Tuesday”.

Microsoft verovatno neće žuriti kada je reč o ovom propustu s obzirom na praksu da se informacije o bagovima otkrivenim na takmičenju Pwn2Own predaju TippingPoint's Zero Day Initiative (ZDI), programu koji je posvećen lovu na bagove u programima. ZDI od istraživača zahteva da ne objavljuju informacije o ranjivostima koje otkriju, a podatke o prijavljenim ranjivostima ZDI predaje proizvođačima softvera koji imaju rok od šest meseci da isprave propuste u svojim programima pre nego što TippingPoint javno prezentuje ove podatke. Zato je Brajant izjavio da nema opasnosti od toga da ranjivost koja je iskorišćena za hakovanje Internet Explorer-a neće biti zloupotrebljena.