Alert GCSA-09110 - Vulnerabilita' 0-day in Internet Explorer 6 e 7

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************

      Alert ID : GCSA-09110
          Data : 23 Novembre 2009
        Titolo : Vulnerabilita' 0-day in Internet Explorer 6 e 7

******************************************************************


:: Descrizione del problema

   Una nuova vulnerabilita' e' stata identificata in Microsoft Internet
   Explorer versioni 6 e 7 per Sistemi Windows XP e Vista.
   La vulnerabilita' sfrutta la presenza di un puntatore instabile
   nella libreria mshtml.dll di Microsoft HTML Viewer durante
   l'esecuzione del metodo "getElementsByTagName()" per il recupero di
   oggetti di tipo CSS/STYLE.

   Un aggressore potrebbe avvalersi della vulnerabilita' inducendo un
   utente a visitare un sito web malevolo appositamente compromesso per
   eseguire codice arbitrario da remoto e compremettere il sistema.


:: Software interessato

   Microsoft Internet Explorer 7
   Microsoft Internet Explorer 6


:: Impatto

   Esecuzione di codice arbitrario da remoto
   Compromissione del sistema
   Denial of Service


:: Soluzioni

   In attesa del rilascio di una patch ufficiale di Microsoft attuare
   una soluzioni temporanea quale la disattivazione di javascript per
   le zone di sicurezza internet e local intranet in Internet Explorer.


:: Riferimenti

VUPEN
   http://www.vupen.com/english/advisories/2009/3301

Symantec Security Blog

http://www.symantec.com/connect/blogs/zero-day-internet-explorer-exploit-published

BugTraq
   http://www.securityfocus.com/archive/1/507984/30/0/threaded

Security Focus
   http://www.securityfocus.com/bid/37085


-----BEGIN PGP SIGNATURE-----

iQCVAwUBSwpzwfOB+SpikaiRAQK6owQAwnRa+l1e87Iu9aQaapoWChU7aUXJ92sb
MsXYO5q+98qQy5uvOBQxRJbyHdTI9Vm2EXlzN0cGTFrceXyiD60AoeiuQcgxzSrA
eng6ZAEjD+Jy7d5DsQk+sZay80xu/EaOdCUTxSZnL784AETQxk5q3Ui1VXJ5erEZ
LWlRe+GWIg4=
=cANS
-----END PGP SIGNATURE-----