Falla 0-Day in Internet Explorer: non dobbiamo usarlo?

Una falla critica è stata individuata in tutte le versioni di Internet Explorer dalla 6 alla 9.

Nessuna patch è stata ancora sviluppata da Microsoft per tamponare questa falla, mentre è stato già creato un concept di exploit per il Free Metasploit Framework.

Si ritiene tuttavia che la vulnerabilità sia già utilizzata nel mondo per ottenere accesso alle macchine con i privilegi dell'utente corrente: in un sistema come Windows, in cui molto spesso gli utenti sono amministratori delle macchine, si tratta di uno scenario molto pericoloso.
Visti la diffusione del browser e il fatto che nessuna sua versione (escluso IE10, disponibile però solo per Windows 8) è esente dal problema, si stima che un utente Internet su tre sia a rischio attacchi.

Il consiglio degli esperti di sicurezza è lapidario: usare browser alternativi come Chrome o Firefox.

Addirittura, il governo tedesco ha consigliato a tutti i suoi cittadini di smettere di usare Internet Explorer, almeno finché non sarà trovato rimedio alla vulnerabilità.

Microsoft stessa ha diramato un bollettino di sicurezza e un comunicato in cui riconosce la pericolosità della falla e consiglia alcune azioni per ridurre al minimo i rischi:

• eseguire il Microsoft FixIt, disponibile a questa pagina, che evita l'exploit sulle versioni a 32 bit di Explorer (è da applicare a browser aggiornati alle ultime patch di sicurezza);
• distribuire sulle macchine Microsoft Enhanced Mitigation Experience Toolkit (EMET): si tratta di un toolkit che permette di attenuare l'impatto degli exploit 0-day;
• impostare la sicurezza delle zone Internet e intranet a "Elevata", per bloccare i controlli ActiveX e l'Active Scripting;
• configurare Internet Explorer per chiedere conferma prima di eseguire Active Scripting o disabilitarlo del tutto nelle zone Internet e local intranet.

Le ultime due azioni impediranno l'utilizzo della vulnerabilità per prendere il controllo del sistema, ma impatteranno sull'usabilità dei siti.
I siti affidabili dovranno quindi essere aggiunti alla zona Trusted Sites, per minimizzare gli effetti collaterali.

Sebbene in Internet ci siano voci per cui la patch sarà rilasciata già il 21/09, non ho trovato nessun comunicato ufficiale di Microsoft. Pertanto il consiglio è di implementare almeno uno dei workaround elencati qui sopra, qualora non fosse possibile utilizzare un browser alternativo.