Internet Explorer 6 wederom lek

Vijf dagen nadat Microsoft waarschuwde over een ernstige zwakke plek in Internet Explorer, trekken veiligheidsexperts opnieuw aan de alarmbel. De melding van wederom een nieuw lek doet het al gehavende blazoen van IE zeker geen goed. Nog erger is dat malafide hackers al een (zero-day) exploit hebben uitgebracht.

Beveiligingsbedrijf Secunia omschrijft de kwetsbare plek als extreem kritiek, een verwijzing naar het feit dat het door een aanvaller kan worden gebruikt om in een pc in te breken. Om dat te realiseren zou een hacker een aangepast Vector Markup Language (VML)-document moeten aanbieden aan een surfer. Zo’n VML-bestand kan worden verstopt in een webpagina, wat de detectie moeilijk maakt.

De kwestie treft Internet Explorer versie 6. Vooralsnog is er geen patch van Microsoft beschikbaar. De enige verdediging tegen misbruik is dan ook: “Bezoek geen onbetrouwbare sites.”

Secunia wijst er ook op dat de enige bekende exploit alleen werkt als Javascript is ingeschakeld. Wie echt bezorgd is, kan deze functionaliteit in Internet Explorer uitschakelen. Hier staat tegenover dat bepaalde webapplicaties stoppen met werken. Bovendien biedt het uitschakelen van Javascript slechts een tijdelijke adempauze. Theoretisch kan de VLM-kwetsbaarheid worden misbruikt zonder Javascript er bij te betrekken.