Niet-gepatcht lek riskant voor XP-gebruikers

Een eerste onderzoek van Microsoft heeft aangetoond dat het probleem alleen Windows XP treft. Windows Vista, Windows 7, Windows Server 2008 en 2008R2 zijn niet kwetsbaar voor het lek. Bryant bevestigt dat de Help-bestanden op een lange lijst van ‘onveilige bestandstypen’ staan. “Aanvallers kunnen ze gebruiken om te proberen een systeem te compromitteren”, aldus Bryant.

De programmafout is ontdekt en vrijdag gemeld door Maurycy Prodeus, een Poolse beveiligingsexpert die voor iSEC Security Research werkt. Volgens Prodeus lopen gebruikers van Internet Explorer 7 en 8 gevaar. Kwaadwillenden kunnen hun slachtoffers kwaadaardige programmacode presenteren die vermomd is als een helpbestand. Deze bestanden zijn herkenbaar aan de extensie ‘.hlp’. Vervolgens dient de gebruiker ertoe worden verleid op de F1-toets te drukken nadat een pop-upvenster hem of haar daartoe uitnodigt.

Omdat diverse handelingen van de pc-gebruiker nodig zijn om de malware te activeren, vindt Proteus het risico van het lek ‘gematigd’. Om te beginnen moet de gebruiker naar een kwaadaardige website worden gelokt. Bovendien moet hij de F1-toets indrukken, nadat het VBscript-pop-upvenster is verschenen.

Cesar Cerrudo, en Argentijnse beveiligingsexpert van Argeniss Information Security, heeft volgens Computerworld bevestigd dat de door Prodeus beschreven ‘exploit’ inderdaad werkt. Deze deskundige neemt de zaak hoger op en vindt het lek ‘zeer ernstig’. Cerrudo acht de kans groot dat de gebruiker uiteindelijk op F1 drukt, omdat de aanvaller via VBscripts honderden pop-ups achter elkaar kan presenteren.

Het is nog niet duidelijk wanneer Microsoft het lek zal dichten. De eerste reguliere patchronde is volgende week dinsdag (9 maart). een mogelijke oplossing is volgens Cerrudo om Internet Explorer te verruilen voor een andere browser.

Update: Microsoft heeft in een maandag gepubliceerd Security Advisory bevestigd dat het de 'bug' in VBScript onderzoekt en daarna zo nodig met "passende maatregelen" komt. Tegelijk zegt Microsoft het te betreuren dat het lek op een "niet verantwoorde" manier naar buiten is gebracht. Microsoft geeft er de voorkeur aan dat informatie over beveiligingsfouten in zijn producten binnenskamers blijft totdat een oplossing beschikbaar is.