De lekken in de Mozilla-producten kunnen worden misbruikt voor zogenoemde cross site scripting aanvallen, waarbij aanvallers hun eigen content in de vormgeving van een 'echte' website tonen. Zodoende proberen zij gevoelige informatie te onderscheppen.

De lekken komen voor in Mozilla Firefox 1.0.4, Mozilla Suite 1.7.8 en Thunderbird 1.0.2 en eerdere versies van deze software. De Mozilla Foundation is de afgelopen maanden van het bestaan van de lekken op de hoogte gebracht en heeft inmiddels maatregelen genomen.

De jongste versie van Firefox (v1.0.5) is hierdoor niet gevoelig voor het lek. Deze is op het moment van schrijven echter alleen nog in het Engels beschikbaar. Wanneer de Nederlandse versie wordt geïntroduceerd, is niet bekend.

Wel zal woensdag een nieuwe versie van Thunderbird verschijnen (v1.0.5) waarin de lekken zijn gedicht. Later deze week zal ook een nieuwe versie van de Mozilla Suite verschijnen waarin de nieuwste patches zijn verwerkt.

IE, Word en Windows

Microsoft heeft ondertussen op zijn maandelijkse patchdag drie updates vrijgegeven die kritieke lekken in enkele van zijn producten dichten. De updates hebben betrekking op huidige versies van Windows en Internet Explorer en enkele oudere versies van Microsoft Word. De lekken zouden door kwaadwillenden misbruikt kunnen worden om van buitenaf een machine over te nemen.

Meest opvallend is de IE-patch. Deze dicht een lek in de browser dat heeft te maken met het bestand Javaprxy.dll. Dit wordt gebruikt door Microsofts Java Virtual Machine. Vorige introduceerde de fabrikant al een tijdelijke noodoplossing voor dit lek.

Microsoft had hiertoe besloten nadat onderzoekers eerder in staat bleken het bewuste lek te kunnen misbruiken. De jongste patch herstelt het onderliggende probleem, aldus de fabrikant.

Overigens heeft onderzoeksbureau Websense woensdag bekendgemaakt sites te hebben ontdekt die actief misbruik maken van dit lek om Trojaanse paarden op pc's te installeren en achterdeurtjes open te zetten.

Het lek in Word kan eveneens door aanvallers worden misbruikt om een machine over te nemen. Hiervoor dient het slachtoffer dan wel een speciaal geprepareerd tekstdocument te openen. De meest recente versie van Word is overigens niet gevoelig voor dit lek. Gebruikers van Word 2000 en 2002 doen er verstandig aan de patch wel te installeren.