Internet Explorer 9 - zero-day exploit

xD

Sicuramente l'UAC mitiga parecchio la pericolosità del bug, però quando si parla di "remote code execution" bisogna sempre andarci con i piedi di piombo.

Non a caso è notizia di oggi che MS rilascerà in fretta la patch di correzione.

Comunque ripeto: IE9 è un browser piuttosto sicuro, cose del genere capitano anche agli altri.

Ciao.

Beh, quando il codice remoto è eseguito con privilegi [U]più bassi di quelli dell'utente collegato[/U], come avviene in modalità protetta per IE9 o con Chrome, puoi stare abbastanza tranquillo...

[I]The vulnerability may corrupt memory in a way that could allow an attacker to execute arbitrary code [U]in the context of the current user within Internet Explorer[/U].[/I]
http://technet.microsoft.com/en-us/...dvisory/2757760


Prendi un FFox o Opera invece: non hanno ancora uno straccio di mp, e se incontrano una falla 0-day o cmq non ancora conosciuta è ben più rischioso senza la prevenzione della sandbox come si ha su IE9 o Chrome.

Il problema è che la maggior parte dell'utenza o di quelli che riportano la notizia:
1. non conosce i tecnicismi della MP e dell'UAC
2. non sa di conseguenza interpretare bene i bollettini MS e quando legge che la falla è segnalata anche su Win7 con IE9, ignorando il punto 1, si allarma e subito va in giro a strombazzare allo scandalo. I "Mitigating factors" nemmeno li legge o ancora una volta semplicemente non li capisce...

Ripeto ancora una volta che ad es. FFox (ma anche Chrome se andate sul sito di Google dove vengono tracciati i bug/falle) ad ogni release puntualmente ha diverse (non 2 l'hanno) falle CRITICHE, come si può leggere su http://www.mozilla.org/security/kno...es/firefox.html
Se chiedi però ad un utente FFox «ma è vero che per FFox 15 che stai usando hanno già segnalato 7 vulnerabilità critiche (magari anche patchate nel frattempo, ma c'erano anche quando non lo sapevi/vano e ce ne sono sempre altre finché non si conoscono, per questo è meglio un'azione preventiva come la filosofia del sandboxing...)?» lui ti guarderà allibito e ti dirà "Ovvio che no! FFox è tra i browser più sicuri se non il più sicuro al mondo!", anche se sul sito ufficiale la realtà è quella...
Se gli chiedi invece di IE ti sa dire data e ora di uscita dell'ultima falla scoperta.
Il problema è che IE9 fa subito notizia e ci sono i pregiudizi, gli altri sono più furbi e non reclamizzano di certo le proprie vulnerabilità ma anzi si fanno pubblicità in senso opposto....