Браузер Internet Explorer был уязвим 284 дня в прошлом году

Брайан Кребс, обозреватель Washington Post, специализирующийся на освещении технологических и компьютерных тем, посчитал, что в прошлом году браузер Internet Explorer был уязвим в течение 284 дней.

В течение 284 дней (более 9 месяцев) эксплоиты для известных, неисправленных критических уязвимостей в Internet Explorer были доступы в Интернет.  Также в течение 98 дней отсутствовали исправления для уязвимостей, которые активно эксплуатировались сетевыми преступниками, чтобы украсть личные и финансовые данные пользователей.

При этом, как отмечает автор исследования, для браузера Mozilla Firefox, основного конкурента IE, в прошлом году наблюдалась принципиально иная картина - за весь год наблюдался лишь единственный подобный случай, когда в течение девяти дней существовал опубликованный в Интернете эксплоит, для которого не был выпущен патч. Однако следует отметить, что суммарно в Mozilla Firefox было обнаружено в 2 раза больше критических уязвимостей, чем в Internet Explorer.

В прошлом году было обнаружено 10 уязвимостей в IE, исправление к которым появились после того, как публично была опубликована информация об уязвимости.

Преступники, специализирующиеся в интернет-мошенничестве, получали большую часть своих доходов эксплуатируя уязвимости в браузере Internet Explorer в прошлом году.  В 2006 году компания Microsoft опубликовала 5 исправлений для 0day уязвимостей (уязвимости, о которых производитель узнал в момент их активной эксплуатации преступниками).

Публично раскрытые уязвимости

Активно эксплуатируемые уязвимости

 

December 2005	Декабрь. 27: MS06-001 ( CVE-2005-4560 ) - 0day в Windows Metafile Format (WMF). Патч появился 5 января.
January 2006		Jan. 7: MS06-004 ( CVE-2006-0020 ) - PoC код для Windows Metafile Format. Патч опубликован 14 февраля
February 2006
March 2006			Mar. 16: MS06-013 ( CVE-2006-1245 ) - PoC код для IE Microsoft Internet Explorer 6.0.2900.2180 (mshtml.dll). Патч опубликован 14 апреля.
				Mar. 22: MS06-013 (CVE-2006-1359 ) - PoC код для Microsoft Internet Explorer 6 and 7 Beta 2. Патч опубликован 11 арпреля
April 2006
May 2006	May 31: MS06-043 ( CVE-2006-2766 ) - PoC код для MHTML Parsing уязвимости в  IE. Патч опубликован 8 августа.
June 2006
July 2006		July 18: MS06-043 ( CVE-2006-2766 ) - PoC код для Microsoft Internet Explorer 6 on Windows XP SP2 (setslice).
August 2006			Aug. 27: MS06-067 ( CVE-2006-4446 ) - PPoC код для  Microsoft Internet Explorer 6.0 SP1 (DIRECT ANIMATION). Патч опубликован 14 ноября.
September 2006				Sept. 13: MS06-067 ( CVE-2006-4777 ) - 0day уязвимость в Internet Explorer 6.0 SP1 (daxctle.ocx). Патч опубликован 14 ноября.
	Sept. 18: MS06-057 ( CVE-2006-3730 ) - IE 0day Vector Graphics Rendering engine (vgx.dll). Патч опубликован 26 сентября
		Sept. 26: Уязвимость активно эксплуатируется. Патч опубликован 10 октября.
October 2006
	Oct. 24: CVE-2006-5559 - ADODB.Connection 2.7 и 2.8 ActiveX control objects в Internet Explorer 6.0. Не закрыта до сих пор.
November 2006		Nov. 3: MS06-071 ( CVE-2006-5745 ) - 0day: IE-related (not installed by default on Windows). Патч опубликован 14 декабря.