Microsoft heeft een veiligheidswaarschuwing de wereld ingestuurd voor een kwetsbaarheid in Internet Explorer 9 en 10 die al uitgebuit wordt door hackers.
Vorige week rapporteerde het beveiligingsbedrijf Fireeye als eerste de problemen. Fireeye en Symantec worden beiden ook door Microsoft genoemd als partijen die de kwestie hielpen oplossen.
Computer overnemen
Het probleem is een zogenaamde use after free-kwetsbaarheid waarbij op afstand code kan worden uitgevoerd. Als een bezoeker een kwaadaardige website bezoekt, kan zijn pc op die manier overgenomen worden. Op zich verhoogt de kwetsbaarheid zelf geen beheerrechten. Als de gebruiker dus geen beheerrechten heeft, krijgt de hacker die ook niet.
Hoewel de hack zich tot nu toe alleen op Internet Explorer 10 richt, zegt Microsoft dat ook Internet Explorer 9 er ontvankelijk voor is. IE 6, 7, 8 en 11 hebben het probleem niet, indien je OS het ondersteunt is een upgrade naar IE11 dus ten zeerste aangeraden.
Microsoft fixt het
Microsoft heeft ook een ‘fix it’ uitgebracht, een patch die de kwetsbaarheid wel dicht, maar nog niet de oorzaak aanpakt. Wie absoluut IE9 of 10 wil draaien, moet die dus installeren. Daarvoor moet de gebruiker wel eerst alle veiligheidsupdates voor 9 en 10 installeren.
Nog een manier om hackers te slim af te zijn, is het installeren van de Microsoft Enhanced Mitigation Experience Toolkit (EMET). De hacks die al opdoken voor de kwetsbaarheid controleren immers of EMET op het systeem aanwezig is en installeren zichzelf niet als dat het geval is.
Deze tabel geeft een overzicht van welke Windowsversies getroffen zijn.
Permanente patch komt eraan
Een blogbericht van Microsoft Security Research and Defense legt uit hoe de reparatie precies in elkaar zit.
Wanneer Microsoft de kwetsbaarheid volledig onderzocht heeft, zal er waarschijnlijk een permanente patch komen, hetzij via de normale Patch Tuesday of via een eenmalige update.
