IE8 kwetsbaar voor datadieven
Gepubliceerd: Maandag 6 september 2010
Auteur: Tonie van Ringelestijn
Een ongepatcht lek in Internet Explorer 8 maakt het mogelijk gegevens te stelen door de sessie van een slachtoffer op een andere site over te nemen.
Door misbruik te maken van het lek kan een aanvaller de sessie overnemen van een ingelogde gebruiker op een externe site. De kwetsbaarheid, die volgens een onderzoeker al bekend is sinds 2008, zit hem in de manier waarop IE8 omgaat met Cascading Style Sheets (CSS), opmaakcodes die de standaard-layout van een webpagina mede bepalen.
Door het lek te misbruiken is het bijvoorbeeld mogelijk om in naam van een ander Twitter-berichten te versturen, zodra die persoon op Twitter is ingelogd. Het scenario van een aanval via deze kwetsbaarheid staat bekend als 'cross-domain theft'. Volgens de onderzoeker, Chris Evans, is misbruik van dit lek extra vervelend voor mensen die verkorters van webadressen vertrouwen. Zij klikken dan bijvoorbeeld op Twitter op een link die hen naar een malafide site leidt.
IE8 laat
Onderzoeker Chris Evans bracht de kwetsbaarheid al in december aan het licht via een weblogbericht. Toen waren alle belangrijkste browsers gevoelig voor het lek, maar Firefox, Chrome, Safari en Opera hebben sindsdien een simpel verdedigingsmechanisme ingevoerd. De aanval werkt nog wel met de laatste versie van IE8.
DLL Hijacking
Hackers hebben vorige week ook een exploit gepubliceerd voor IE8 waarmee code op systemen van slachtoffers is uit te voeren. Het gaat om het zogeheten 'DLL Hijacking', waarbij aanvallers een dll-bestand op het bureaublad plaatsen.
