De ontdekker van het lek, Ronald van den Heetkamp, heeft een proof of concept van het beveiligingslek in IE online gezet. Onder meer SecurityFocus en Security.nl besteedden de afgelopen dagen aandacht aan de ongepatchte kwetsbaarheid in IE. Met behulp van de door Van den Heetkamp bedachte proof of concept is het mogelijk om de in de browser ingebakken security-beperkingen voor het uploaden van bestanden te omzeilen. Bij gebruik op een website kan de exploit misbruikt worden voor het ophalen van bestanden van iemands harde schijf, zonder dat het slachtoffer dat doorheeft.

De beveiligingsexpert kreeg het idee voor het beveiligingslek naar aanleiding van een al bestaande kwetsbaarheid in Firefox. "Als ik een nieuw lek heb gevonden, probeer ik het altijd om deze in meerdere browsers werkend te krijgen", legt hij uit. "Regelmatig vind ik wel iets nieuws, zoals verscheidene malen in Firefox. In dit geval was het net wat specialer omdat het moeilijk was om het werkend te krijgen in Internet Explorer."

Het lek is mogelijk door een ontwerpfout in de browser. "Het blijkt dat het html-attribuut 'htmlFor' scriptable is. Dat probleem hadden ze over het hoofd gezien", stelt Van den Heetkamp, die eerder veiligheidsproblemen bij zeven Nederlandse banken aan het licht bracht. Van den Heetkamp heeft Microsoft niet ingelicht over het lek. "Ik hanteer full disclosure, omdat ik niet het Microsoft-traject in wil gaan. Meestal hoor je dan niets meer van ze namelijk." Overigens is het softwarebedrijf al wel op de hoogte, stelt de security-deskundige tegenover de redactie van Webwereld. "Ze bezoeken mijn website elke week."

Bron: Techworld