Exploit voor twee maanden oud IE-lek
Gepubliceerd: Vrijdag 29 september 2006
Auteur: Niels de Rijk
Een lek in Internet Explorer brengt Microsoft in verlegenheid. Hacker HD Moore ontdekte het lek twee maanden geleden al, maar publiceerde deze week pas een exploit.
Het door Moore ontdekte lek bevindt zich in een ActiveX-control (Webviewfoldericon), dat gebruikt wordt door de graphical user interface (gui) van Windows. Hackers kunnen via het lek het systeem overnemen nadat gebruikers een gemanipuleerde website hebben bezocht.
Het lek is aan te treffen op volledig gepatchte systemen met Internet Explorer 6 en Windows XP SP2. Ook andere versies van Windows zijn vatbaar.
Hacker HD Moore maakte in een blogposting van 18 juli al melding van het lek. Zijn toen lopende 'Month of browser bugs'-project bracht in totaal 22 kwetsbaarheden in IE aan het licht.
Microsoft deed niets met het lek, totdat Moore deze week een exploit toevoegde aan zijn hackingtool, Metasploit. De exploit verscheen vervolgens ook op exploit-site Milw0rm.com, waarna Microsoft direct een 'advisory' publiceerde.
Microsoft raadt gebruikers aan hun antivirussoftware up-to-date te houden. De softwarefabrikant zegt op de eerstvolgende patchdag (10 oktober) een patch te kunnen leveren.
Volgens Moore heeft Microsoft nog veel werk liggen. Begin augustus overhandigde de hacker nog zeventig - ongepubliceerde - lekken. Het grootste deel daarvan is nog niet gedicht, aldus Moore.
