Microsoft: 'Zet Safari-browser uit'

Vrijdag heeft het Microsoft Security Response Center (MSRC) dit advies gegeven, omdat een combinatie van een bug in de Apple-browser en een kwetsbaarheid in Windows gevaar kan opleveren.

Tapijtbom

Het gevaar komt van dezelfde Safari-bug die twee weken eerder is ontdekt door security-onderzoeker Nitesh Dhanjani. Volgens hem kon er dankzij lekken in Safari een 'tapijtbom'-aanval plaatsvinden, omdat de browser geen toestemming vraagt voordat een bestand wordt gedownload. Hackers kunnen een site vullen met malware, die Safari dan automatisch naar het bureaublad downloadt, aldus Dhanjani.

Apple vertelde Dhanjani dit niet als een veiligheidsprobleem te zien, maar beloofde desondanks het lek in een toekomstige update te repareren. Hierop kreeg de softwaregigant de wind van voren van de anti-malware organisatie Stopbadware.org.

Gecombineerde aanval

Bij Windows gaat het om de manier waarop XP en Vista uitvoerbare bestanden op het bureaublad behandelen. "Microsoft onderzoekt nieuwe rapporten over een gecombineerde aanval waardoor op afstand scripts kunnen worden uitgevoerd op alle versies van Windows XP en Vista waarop Apples Safari-browser is geïnstalleerd", aldus Microsofts veiligheidsonderzoekers.

Nu heeft Microsoft dus geadviseerd het gebruik van Safari te beperken totdat er een update beschikbaar is. Het bedrijf erkent wel dat het veiligheidsrisico extra groot is in combinatie met de eigen software: Windows XP, inclusief SP3, en Vista zijn kwetsbaar, maar ook Internet Explorer 6 en IE 7.

Oplossing

De Israëlische veiligheidsonderzoeker Aviv Raff heeft de kwetsbaarheid in IE al ruim een jaar geleden gemeld. "Voor de gecombineerde aanval is ook IE nodig", zegt hij in een reactie. Het advies van Microsoft om aanvallen te voorkomen door de standaard download-locatie te wijzigen, is volgens Raff onvoldoende. "De beste oplossing op dit moment is inderdaad om Safari niet meer te gebruiken, totdat Apple de bug herstelt. Zelfs als Microsoft de bugs repareren, dan lopen Safari-gebruikers nog steeds een risico", aldus Raff.

Hoewel Microsoft zegt samen met rivaal Apple aan een oplossing te werken, heeft Apple nog geen reactie gegeven. Evenmin is bekend hoelang het gaat duren voordat Microsoft met een patch komt tegen de Safari-IE-aanvallen.