Anche Internet Explorer 9 cade al Pwn2Own

Il CanSecWest di quest’anno, evento durante il quale sta avendo luogo il contest di sicurezza informatica Pwn2Own, sta regalando alle software house che si occupano dello sviluppo di browser importanti risorse con le quali migliorare i propri prodotti. Dopo la disfatta di Google Chrome, la cui sandbox è stata aggirata per la prima volta nella storia di tale evento, a cadere è stato Internet Explorer 9: il browser targato Microsoft è stato infatti bucato da un gruppo di hacker appartenenti al team francese Vupen, mettendo in luce importanti falle nell’applicazione.

In particolare, grazie al duro lavoro di due ricercatori all’opera in maniera continuativa per circa sei settimane, il gruppo è riuscito ad individuare un exploit in grado di aggirare i metodi di protezione DEP e ASLR implementati dagli ingegneri di Redmond e sfruttando un’altra falla sono stati in grado di oltrepassare i confini della sandbox all’interno della quale risiede ogni istanza di Internet Explorer. Conseguenza di ciò è la realizzazione di una dimostrazione pratica delle possibilità messe a disposizione dall’utilizzo di tali falle, le quali non richiedono alcuna interazione da parte dell’utente in seguito all’apertura di un’apposita pagina Web.

Il sistema operativo che ha rappresentato la base per i test in questione è stato Windows 7 dotato di Service Pack 1, ovvero la piattaforma ritenuta da Microsoft più affidabile in assoluto tra i propri prodotti. Ad essere coinvolta, poi, non è soltanto l’edizione 9 del browser, bensì anche la 10, disponibile in anteprima grazie alla Consumer Preview di Windows 8. Ma non solo: le falle in questione sono state riscontrate anche in edizioni precedenti dell’applicazioni, fino alla numero 6, mettendo di fatto potenzialmente a rischio un’ampia porzione di navigatori.

Vupen, insomma, dopo aver mostrato al mondo intero le falle presenti in Chrome, si è ripetuto nuovamente con Internet Explorer, lanciando un chiaro messaggio alle software house: i browser rappresentano infatti un punto cruciale nel miglioramento della sicurezza online e lo sviluppo di nuove soluzioni in tal senso non deve mai arrestarsi, in quanto prima o poi verrà sempre individuata una nuova vulnerabilità da risolvere.