Chyba v IE odhalila mezery v aktualizačním systému Microsoftu

Na závažnou zranitelnost v prohlížeči Internet Explorer 10, která by případným útočníkům umožnila vzdálené spuštění škodlivého kódu na uživatelském zařízení, bezpečnostní výzkumníci poprvé upozornili 13. března poté, co si všimli napadení webu francouzské Asociace leteckých výrobců. Toto sdružení má přes 300 členů.

Asi týden po objevení chyby Microsoft uvolnil modul Fix It, který uživatelům poskytoval dočasnou ochranu před vydáním opravné aktualizace. Problém je podle analytiků v tom, že o těchto modulech ví jen málo uživatelů. Firmy samozřejmě mohly ještě provést přechod na novější IE 11, který danou zranitelnost neobsahuje, ovšem takové změny rozhodně nejsou pro firemní uživatele snadnou záležitostí.

Po svém zveřejnění se zranitelnost přirozeně dostala také do pozornosti internetových útočníků. Ti ji okamžitě začali využívat ke svým operacím. Podle bezpečnostní společnosti Websense se obětmi útoků stalo hned několik webových stránek. Mělo prý dojít k napadení stránek jisté japonské cestovní kanceláře, taiwanské školy či hongkongské univerzity. Rychlá reakce útočníků podle Websense ukazuje na jejich snahu bezpečnostní díru maximálně využít k rychlému obohacení.

Microsoft za svůj systém oprav obvykle ze strany bezpečnostních expertů sklízí pochvalu. Opravné aktualizace přináší pravidelně každý měsíc a v případě nouze i častěji. Například Oracle tak činí čtvrtletně a Cisco dokonce jen dvakrát do roka.

Podle některých expertů by se přesto v tomto směru dalo udělat více. Shodují se například v potřebě rychlejších aktualizačních cyklů. Zejména v případě IE by se prý mělo upustit od měsíčního cyklu a uvolňovat aktualizace co nejdříve po odhalení zranitelnosti.

S takovým řešením by však zase mohly mít některé společnosti problém. Pro ty by proto bylo vhodnější, aby vhodně zvolenými opatřeními zamezily v přístupu k citlivým datům prostřednictvím potenciálně zranitelného prohlížeče. Navíc ne každá zranitelnost je rizikem pro všechny – firmy se mohou po vyhodnocení zranitelnosti samy rozhodnout, jestli opravnou aktualizaci potřebují či nikoliv.