Jak wynika z informacji podanych w poradniku zabezpieczeń firmy Microsoft, przyczyną usterki jest błąd w komponencie iepeers.dll, który umożliwia potencjalnemu napastnikowi uruchomienie przemyconego kodu z uprawnieniami użytkownika. Aby atakujący mógł wykorzystać ten błąd, musi przekonać użytkownika do odwiedzenia specjalnie spreparowanej strony internetowej.

Luka występuje w Internet Explorerze 6 i 7, najnowsza wersja nie jest podatna na atak, Microsoft zachęca więc użytkowników do uaktualnienia przeglądarki. Ci, którzy nie chcą lub nie mogą tego zrobić, powinni zmienić w ustawieniach IE poziom zabezpieczeń strefy Internet na Wysoki, co spowoduje wyłączenie wykonywania aktywnych skryptów.

Kolejnym sposobem zabezpieczenia przeglądarki jest włączenie funkcji zapobiegania wykonywaniu danych, czyli DEP (ang. Data Execution Prevention), która w starszych wersjach IE jest domyślnie wyłączona. Najprostszym rozwiązaniem jest jednak skorzystanie z udostępnionego przez Microsoft narzędzia Fix it - wystarczy wejść na podlinkowaną stronę i wybrać "Fix this problem".

>> Czytaj także: IE traci monopol. Będzie niebezpiecznie?

Już tydzień temu Microsoft potwierdził, że znane są przykłady ataków, w których wykorzystano omawianą lukę, a także obiecał monitorować zagrożenia. Tymczasem izraelski specjalista ds. bezpieczeństwa Moshe Ben Abu przeanalizował znalezionego w sieci exploita i stworzył własny moduł ataku, który został już dołączony do pakietu Metasploit. Kod działa zgodnie z założeniem w systemach Windows Vista SP2 z IE7 oraz Windows XP SP3 z IE6 oraz IE7 (pod warunkiem, że funkcja DEP jest wyłączona). Skuteczność exploita sięga 60%.

Poszerzenie funkcjonalności Metasploita zmotywowało giganta z Redmond do przygotowania tymczasowego zabezpieczenia. Aktualizacji likwidującej lukę można spodziewać się w kwietniu. Warto zauważyć, że nie jest to jedyna niezałatana obecnie dziura w IE. Pod koniec lutego Dziennik Internautów informował o odkrytym przez Polaka - Maurycego Prodeusa - błędzie umożliwiającym zaatakowanie systemu za pośrednictwem Pomocy Windows (niezbędna jest do tego interakcja użytkownika - musi on na spreparowanej stronie internetowej wcisnąć klawisz F1).

>> Czytaj więcej: Dziura w IE, odkryta przed trzema laty, dalej straszy