Opnieuw veiligheidsgaten in Internet Explorer ontdekt

Na de recentelijk gepubliceerde gaten in Opera, hebben veiligheidsonderzoekers in Denemarken ook weer een serie veiligheidsgaten in Internet Explorer ontdekt, zo meldt ComputerWorld. De veiligheidsgaten in Microsoft's browser worden beschreven als een combinatie van kleinere beveiligingsgaten die leiden tot cross-domain scripting en daardoor eenvoudig te misbruiken zijn door het aanpassen van een exploit die gebruik maakt van fouten in IE die drie maanden geleden aan het licht kwamen en welke inmiddels gerepareerd zijn. In het document waarin de problemen worden beschreven is te lezen dat dankzij de nieuwe bugs het voor kwaadwillende personen eenvoudig is om toegang te verkrijgen tot lokale bestanden op de computer waarop de browser draait. Ook het uitvoeren van programma's die vanaf internetlocaties op de computer worden geïnstalleerd is eenvoudig te bewerkstelligen dankzij de nieuw ontdekte vulnerability.

De fout doet zich voor in versie 6 van Internet Explorer, maar ook oudere versies 5.01 en 5.5 zijn kwetsbaar aldus de onderzoeker. Microsoft heeft laten weten dat er bij hun nog geen meldingen waren binnengekomen van problemen die veroorzaakt worden door de nieuwe veilighiedsgaten in Internet Explorer en dat ze nu onderzoek gaan doen naar de in de genoemde publicaties vermelde problemen. Een patch is derhalve op dit moment nog niet beschikbaar. De enige mogelijkheid om eventueel misbruik van de genoemde gaten in IE te voorkomen is door de Active Scripting-functie van IE uit te schakelen. In een document van CERT is beschreven hoe men dit kan realiseren. Overigens liet een woordvoerder van Microsoft weten dat de fouten publiekelijk zijn gemaakt voordat de softwarefabrikant op de hoogte was gesteld, waardoor misbruik van de genoemde veiligheidsproblemen in de hand wordt gewerkt;

Art Manion, an Internet security analyst at the CERT Coordination Center at Carnegie Mellon University in Pittsburgh, confirmed that his testing of the reported vulnerability showed that at least one of the reported problems can be duplicated on an Explorer 6 machine that has already been fully patched with existing Microsoft updates, meaning that the vulnerability does exist.

[...] Wilson also said Microsoft is concerned that the latest vulnerability reports weren't sent to the company before being made public, giving attackers time to use it for new attacks on users.

Reports of the vulnerabilities "were not disclosed responsibly, potentially putting computer users at risk," she said. "We continue to encourage responsible disclosure of vulnerabilities. We believe the commonly accepted practice of reporting vulnerabilities directly to a vendor serves everyone's best interests, by helping to ensure that customers receive comprehensive, high-quality patches for security vulnerabilities, with no exposure to malicious attackers while the patch is being developed."

Computerworld vermelde overigens dat andere browsers die geen active-scripting ondersteunen, zoals Opera, Netscape en Mozilla.org geen gevaar lopen.