Hoewel er nog geen update voor het tijdens de Pwn2Own ontdekte beveiligingslek in Internet Explorer 8 beschikbaar is, hebben Microsoft en organisator TippingPoint toch besloten om details over de exploit prijs te geven. En dat is nog niet eerder voorgekomen. "Na gesprekken met Microsoft verbreken we onze traditionele stilte", aldus TippingPoint's Terri Forslof. Zoals eerder al vermoed is de Vista versie van Internet Explorer 8 niet kwetsbaar voor het door hacker Nils ontdekte zero-day lek. Ook gebruikte hij inderdaad de techniek van Alexander Sotirov en Mark Dowd om de DEP en ASLR beveiliging van Windows 7 te omzeilen.

Microsoft had echter maatregelen genomen om dit lek te dichten, maar de oplossing was nog niet in de Release Candidate aanwezig die Nils hackte. De uiteindelijke versie van Vista beschikt wel over deze maatregel en loopt dus geen risico, in tegenstelling tot de XP versie van de browser. "Als je Internet Explorer 8 op Windows XP draait, dan gebruikt het geen ASLR en DEP, dus andere bekende exploit technieken zullen gewoon werken", gaat Forslof verder. Was de Pwn2Own wedstrijd een dag later begonnen, dan had Nils zijn 5000 dollar beloning en Sony Vaio laptop kunnen vergeten.

DEP
Volgens Mark Dowd, die in deze blogposting zijn aanval op Vista's beveiligingsmaatregelen nog een keer beschrijft, is het hacken van Internet Explorer 8, door het inschakelen van DEP, een stuk lastiger geworden. "DEP is eindelijk in IE8 ingeschakeld, wat een grote verandering ten opzichte van IE7 is. Dit betekent dat IE8 nog volledig van Vista's geheugenbescherming profiteert. Het hacken zal heel lastig worden!.... Waarschijnlijk!"