GreyMagic publiceert negen lekken in Internet Explorer

ZDNet bericht over een aantal nieuwe beveiligingsproblemen in Internet Explorer. Deze browser, met een marktaandeel dat richting de honderd procent loopt de absolute marktleider, blijkt last te hebben van een stel bugs die het mogelijk maken om de schijfinhoud van gebruikers te lezen. De ontdekker van deze problemen is het beveiligingsbedrijf GreyMagic, dat op zijn site een nadere uitleg geeft van elk van de bugs en de mogelijkheid biedt om te testen of je kwetsbaar bent. Van de negen gaten zijn er overigens slechts twee die in de laatste versie van Internet Explorer problemen geven, de rest is al opgelost in updates die de afgelopen tijd zijn uitgegeven. Alle problemen hebben hun oorzaak in Active Scripting en kunnen worden voorkomen door die feature uit te schakelen.

Opvallend is de manier die GreyMagic gebruikt om de securitybugs aan het licht te brengen. In de meeste gevallen wordt eerst de producent van het stuk software gewaarschuwd, waarna die een patch gereedmaakt en het probleem wereldkundig maakt. GrayMagic heeft er echter voor gekozen om Microsoft niet van tevoren in te lichten: het bedrijf zette de problemen op internet en maakte pas op dat moment melding bij de softwaregigant. Er is geen wereldwijd erkende procedure voor het melden van beveiligingsproblemen, maar zogeheten 'full disclosure' zonder eerst de fabrikant te waarschuwen is aan discussie onderhevig. Het bedrijf geeft aan voor deze methode gekozen te hebben omdat Microsoft zonder de extra druk niet snel genoeg met oplossingen zou komen:

GreyMagic heeft Microsoft niet vantevoren op de hoogte gebracht, maar gelijktijdig met de openbaarmaking van het veiligheidsprobleem. Ze vindt dat Microsoft in het verleden te traag heeft gereageerd op dit soort lekken, en dat het de nieuw ontdekte daarom onmiddellijk in de openbaarheid moest brengen.

Microsoft gaat inhoudelijk niet in op de fouten, wel heeft men kritiek op de manier waarop het beveiligingsbedrijf de lekken naar buiten heeft gebracht. Het softwarebedrijf is van mening dat zij in alle gevallen als eerste moet worden ingelicht. Microsoft vindt dat GreyMagic hackers nu het gereedschap in handen geeft om waarmee zij computergebruikers kunnen aanvallen.