Microsoft geeft beveiligingsadvies over Internet-beveiligingslek

Microsoft heeft maandagavond een beveiligingsadvies uitgebracht dat klanten richtlijnen en oplossingen biedt voor het omgaan met een zero-day exploit gericht op Internet Explorer.

Eerder op de dag zei het bedrijf dat het het incident aan het onderzoeken was wat in het weekend naar voren kwam toen iemand de exploit-code publiceerde op de Bugtraq-mailinglijst. Tegen maandagavond schakelde Microsoft uit en gaf het advies uit. Er zijn tot nu toe geen actieve misbruiken van het beveiligingslek gerapporteerd.

Microsoft heeft beveiligingsadvies 977981 uitgebracht, waarin tijdelijke oplossingen zijn opgenomen voor een probleem met een fout in Cascading Style Sheets die uitvoering van externe code mogelijk zouden maken. Kwetsbaarheden die uitvoering van externe code mogelijk maken resulteren in het algemeen in patches die door Microsoft als kritiek worden beoordeeld.

[Meer informatie: hoe u malware van uw Windows-pc verwijdert]

Het advies bevestigde dat de kwetsbaarheid van invloed is op IE 6 op Windows 2000 Service Pack 4, en IE 6 en IE 7 op ondersteunde edities van XP, Vista, Windows Server 2003 en Windows Server 2008. Microsoft-gebruikers met IE 7 op Vista kunnen de browser zo configureren dat deze in de beschermde modus wordt uitgevoerd om de gevolgen van het beveiligingslek te beperken. Het raadde ook aan om de instelling voor de zone voor internetzone in te stellen op "Hoog" om te beschermen tegen misbruik. Met de instelling "Hoog" wordt JavaScript uitgeschakeld, wat momenteel de enige bevestigde aanvalsmodus is.

Microsoft zei dat IE 5.01 Service Pack 4 en IE 8 op alle ondersteunde versies van Windows niet worden beïnvloed.

Om een ​​aanval te laten werken, de hacker zou zijn slachtoffer eerst moeten laten bezoeken aan een website die de exploit-code hosten. Dit kan een kwaadwillende website zijn die door de hacker zelf is opgezet, of het zou een site kunnen zijn waarmee gebruikers inhoud kunnen uploaden.

Een andere manier waarop cybercriminelen dit soort aanvallen hebben gelanceerd, is het hacken van legitieme websites. Eerder deze week onthulde de Amerikaanse radio-verkoper Cobra Electronics dat het in juni was gehackt, hoogstwaarschijnlijk door een professionele hacker die de site had gebruikt om malware naar klanten te downloaden.

Microsoft heeft niet gezegd of het zou patchen fout tijdens de volgende regelmatig geplande reeks beveiligingsupdates, op 8 december.

(Robert McMillan van de IDG News Service heeft bijgedragen aan dit rapport.)