A TippingPoint, empresa de segurança da Hewlett-Packard (HP), revelou na quarta-feira (21) uma nova brecha de segurança nova no Internet Explorer 8, navegador da Microsoft. Com ela, um hacker pode criar uma página que, ao ser acessada, instala um vírus no computador do internauta sem que ele precise confirmar qualquer download.
A brecha foi mostrada publicamente porque a Microsoft, apesar de ter sido avisada do problema em novembro de 2013, ainda não eliminou a vulnerabilidade.
A TippingPoint soube do problema por meio do Zero Day Initiative (ZDI), um programa pelo qual paga a pesquisadores de segurança independentes por informações sobre falhas de segurança em diversos de produtos. A empresa de segurança da HP entra em contato com o fabricante do software que apresenta a brecha. Se uma correção não for feita após 180 dias da data de notificação, um alerta é publicado com informações básicas sobre a falha.
A TippingPoint não divulgou um código de exemplo para explorar a falha, mas apontou o nome da função vulnerável e quais dados devem ser manipulados para viabilizar a exploração da falha. Não é informado exatamente como esses dados devem ser manipulados, porém. "Não vai ser fácil reproduzir a vulnerabilidade com base apenas nesse alerta", afirmou Peter Van Eeckhoutte, o pesquisador de segurança que revelou a brecha para o ZDI.
A Microsoft informou que ainda está investigando o caso e desenvolvendo uma correção para a falha e que até o momento não há registro de nenhum ataque que tenha tirado proveito dela.
No início do mês, a Microsoft lançou uma atualização de emergência para uma brecha de segurança que afetava todas as versões do Internet Explorer. Diferentemente da brecha divulgada pela TippingPoint, essa outra falha foi encontrada já em uso por hackers.
