Microsoft lost momenteel misbruikte kwetsbaarheid op die van invloed is op IE9,10 en 11

Met 7.44% heeft Internet Explorer nog steeds meer marktaandeel dan Edge en slechts iets minder dan Firefox. Het is daarom goed nieuws dat Microsoft een fout in de browser gaat repareren die kan leiden tot uitvoering van externe code als iemand een speciaal ontworpen website bezoekt met behulp van de software.

Microsoft's advies voor ADV200001 Scripting Engine Memory Corruption Vulnerability luidt als volgt:

Er bestaat een beveiligingslek met betrekking tot het uitvoeren van externe code door de manier waarop de scriptengine objecten in het geheugen in Internet Explorer verwerkt. Het beveiligingslek kan het geheugen zodanig beschadigen dat een aanvaller willekeurige code kan uitvoeren in de context van de huidige gebruiker. Een aanvaller die het beveiligingslek weet te misbruiken, kan dezelfde gebruikersrechten krijgen als de huidige gebruiker. Als de huidige gebruiker is aangemeld met beheerdersrechten, kan een aanvaller die misbruik weet te maken van het beveiligingslek de controle krijgen over een getroffen systeem. Een aanvaller zou dan programma's kunnen installeren; gegevens inzien, wijzigen of verwijderen; of maak nieuwe accounts aan met volledige gebruikersrechten.

In een webgebaseerd aanvalsscenario kan een aanvaller beschikken over een speciaal vervaardigde website die is ontworpen om het beveiligingslek te misbruiken via Internet Explorer en vervolgens een gebruiker ertoe overhalen de website te bekijken, bijvoorbeeld door een e-mail te sturen.

Microsoft verteld TechCrunch dat het "op de hoogte was van beperkte gerichte aanvallen" en "aan een oplossing werkte". De fout lijkt op een getroffen Firefox en wordt toegeschreven aan hetzelfde in China gevestigde beveiligingsonderzoeksteam, Qihoo 360.

Microsoft zal echter geen Out of Band-update uitbrengen net als vorig jaar, wat betekent dat gebruikers zullen moeten wachten tot de volgende patch dinsdag op 11 februari.

De fout is zo ernstig dat Homeland Security een adviserend. Paradoxaal genoeg wordt Internet Explorer hoogstwaarschijnlijk gebruikt met gevoelige gegevens, omdat het over het algemeen zakelijke gebruikers zijn die vast blijven zitten in de browser omdat ze speciaal gecodeerde web-apps moeten ondersteunen.

Er zijn beperkende technieken die beheerders kunnen gebruiken, die kunnen worden gevonden in de richtlijnen van Microsoft hier.

Via Engadget