Het lukt Microsoft niet om een ernstig beveiligingslek in Internet Explorer aan de praat te krijgen, waardoor er altijd nog geen advisory is verschenen. Begin deze week onthulde de Poolse beveiligingsonderzoeker Michael Zalewski dat hij via een zelfgemaakte fuzzingtool meer dan honderd lekken in Internet Explorer, Firefox, Chrome, Safari en Opera had gevonden. In één geval zou het om een ernstige kwetsbaarheid in Internet Explorer gaan die ook bij Chinese hackers bekend is. Het Franse beveiligingsbedrijf Vupen bevestigde vervolgens het lek, maar een advisory van Microsoft bleef uit.

De softwaregigant laat nu in een overzicht van nog vijf potentiële zero-day lekken weten waarom het nog geen waarschuwing heeft afgegeven. De kwetsbaarheid in kwestie zou wel de browser laten crashen, maar het lukt Microsoft niet om vervolgens willekeurige code uit te voeren en het systeem over te nemen.

De overige vier problemen zijn aanwezig in WMI Administrative Tools ActiveX control, IIS 7.0 en 7.5 FTP service, Windows graphics rendering engine en Internet Explorer. Het CSS-lek in IE wordt volgens Microsoft beperkt bij aanvallen gebruikt en zou via de EMET-tool tijdelijk zijn te verhelpen. De kwetsbaarheid in IIS veroorzaakt in de meeste gevallen een Denial-of-Service. Microsoft heeft nog geen gevallen gezien waarbij systemen ook via dit lek werden overgenomen.

Wat betreft het WMI Administrative Tools ActiveX-lek is dit ActiveX control niet door Microsoft gesigneerd en hebben ook niet veel systemen het geïnstalleerd, waardoor het gevaar voor de meeste gebruikers zeer klein is. Voor het recent gerapporteerde lek in de Windows graphics rendering engine is er inmiddels een Fix-it oplossing, die de Access Control List van de kwetsbare shimgvw.dll aanpast.

Google
De situatie waarbij Zalewski zijn tool openbaarde zonder op een update van Microsoft te wachten lijkt op een incident met onderzoeker Tavis Ormandy. Die onthulde vorig jaar een ernstig lek in Windows XP omdat Microsoft geen afspraak over het uitbrengen van de patch wilde maken. Ook bij Zalewski vroeg Microsoft om uitstel, maar de onderzoeker vond dat de softwaregigant geen excuus had om het probleem zo lang te laten zitten. Microsoft zou al zo'n zes maanden geleden zijn gewaarschuwd, maar liet verder niets van zich horen.

Zowel Zalewski als Ormandy werken als beveiligingsonderzoeker bij Google, maar hebben de kwetsbaarheden en tool geheel in eigen naam gepubliceerd. Ormandy en andere beveiligingsexperts waren afgelopen zomer furieus dat de media steeds de naam van Google lieten vallen. Ook nu zijn er tal van nieuwsberichten verschenen waarin de naam van Google wordt genoemd, terwijl dat geheel los van het voorval staat. "Ik ben Google niet. Wil je echt in een wereld leven waar elke actie die je neemt moet zijn goedgekeurd door je werkgever?", aldus Ormandy destijds.