Kritiek lek in Word 2007 ontdekt op patch-dinsdag

Kon Microsoft vorige maand nog uitpakken met de mededeling dat geen enkel veiligheidslek gepatcht moest worden op de maandelijkse hersteldag, gisteren werd 'patch tuesday' verstoord door de aankondiging dat er een kritiek lek in Word 2007 gevonden was.

De hacker Mati Aharoni heeft op de website Offensive Security een aantal proof of concept-bestanden gepost waarmee aangetoond wordt dat er ernstige lekken in Word 2007 zitten. Met wat hij zelf zijn '7 line python fuzzer' noemt, vond hij naar eigen zeggen in drie uur een viertal problemen. Het gaat daarbij om buffer overflows en 'denial of service'-mogelijkheden. Het lijkt er overigens op dat Aharoni Microsoft niet op de hoogte heeft gesteld van zijn bevindingen alvorens deze te publiceren. Kwaadwillende collega-hackers hebben bijgevolg ruimschoots de tijd, tot de volgende patchdinsdag, om exploits voor de lekken te schrijven. David LeBlanc van Microsoft stelt dat een van de lekken echter niet als gevaarlijk beschouwd moet worden. Een .hlp-bestand is volgens hem ontworpen om als uitvoerbaar bestand te kunnen functioneren - hoewel de heap overflow wel niet tot bedoelde functionaliteit gerekend zal kunnen worden - en het is bijgevolg ook mogelijk deze bestanden te misbruiken voor kwaadaardige doeleinden. Volgens LeBlanc zou het echter efficiënter zijn om gebruikers chocolade aan te bieden in ruil voor hun wachtwoorden, dan misbruik te willen maken van dit lek.