Läcker Internet Explorer känslig information?

Spider.io, ett företag som hjälper kunder att skilja mellan faktiska besökare på webbplatsen och automatiserad botaktivitet, hävdar att de har upptäckt en fel som påverkar Internet Explorer den nuvarande flaggskeppsbrowsern från Microsoft, versioner 6 till 10. Sårbarheten gör det möjligt att spåra muspekarens position där den är på skärmen - även om IE minimeras.

Spider.io avslöjade sårbarhet mot Microsoft den 1 oktober 2012, men det togs inte upp i den senaste säkerhetsuppdateringen för Internet Explorer. Spider.io hävdar att felet utnyttjas aktivt, och hävdar att Microsoft Security Research Center (MSRC) har erkänt sårbarheten, men har ingen omedelbar plan att klistra in den.

[Ytterligare läsning: Så här tar du bort skadlig kod från dina Windows PC]

Ett fel i IE kan läcka potentiellt känslig information

Jag frågade Microsoft för sin ståndpunkt om den påstådda sårbarheten. En talesman skickade mig detta officiella svar: "Vi undersöker för närvarande problemet, men hittills finns det inga rapporter om aktiva verksamheter eller kunder som har påverkats negativt. Vi kommer att tillhandahålla ytterligare information när den blir tillgänglig och kommer att vidta lämpliga åtgärder för att skydda våra kunder. "

Jason Miller, forsknings- och utvecklingschef för VMware frågar om problemet är ett" fel "eller en" funktion ". "Man kan ifrågasätta om det här är en sårbarhet eller en funktion som introduceras i webbläsaren för att hjälpa till med att fastställa användarvärden. Oavsett, forskarna har bevisat att denna "fråga" kan användas skadligt. "

Jag talade med Qualys CTO Wolfgang Kandek. Han uttryckte oro över de konsekvenser en sådan sårbarhet kan ha för webbbank. Många banker har implementerat virtuella tangentbord på skärmen för att ange kontouppgifter som ett sätt att undvika traditionella keyloggerattacker.

Andrew Storms, chef för säkerhetsoperationer för nCircle, håller med om. "Detta utnyttjande gör att avhjälpande null och void - det har effekt av en nyckelloggare på virtuella tangentbord. Attackers kan eventuellt fånga de klick som är kopplade till bankuppgifter med hjälp av detta utnyttjande och det är inte bra nyheter för de 63 miljoner amerikanerna som banken online. "

Alex Horan, senior produktchef vid CORE Security, tillägger att de förmodligen" säkra "webbplatser Det kanske inte är så säkert. "Det förstärker också att bara för att du besöker YouTube eller New York Times betyder det inte att allt innehåll på den webbplatsen ägs eller hanteras av dem - att servera skadliga annonser på pålitliga vanliga webbplatser är ett utmärkt sätt att avslöja din attack mot en stor volym av användaren. "

Horan föreslår att överge IE tills eller om problemet är patcherat av Microsoft.

Storms säger," Om denna sårbarhet bekräftas har den potential att kräva en out-of-band-patch och det är något som alla vill undvika denna högsäsong. "