Microsoft kende lek in IE al langer

Microsoft bracht vrijdag een patch uit voor het lek in IE. Daarbij bedankte het bedrijf een tipgever die via het Zero Day Initiative van HP’s Tipping Point het lek gemeld zou hebben bij Microsoft. Daaruit wordt nu geconcludeerd dat het lek al langer bekend was bij Microsoft. Dat het lek sowieso bestond, werd pas vorige week duidelijk toen beveiligingsexpert Eric Romang bekend maakte dat hij dit had gevonden.

Redactie AG ConnectMeer van deze auteur

Alarm

Het lek zit in versie 9 en eerdere versies en wordt al driftig misbruikt door hackers voor zeer gerichte aanvallen. Wereldwijd werd vorige week alarm geslagen, omdat zo veel gebruikers er grote risico’s door lopen. Velen, waaronder de Duitse overheid, adviseerden zelfs voorlopig IE niet meer te gebruiken maar voor een andere browser te kiezen.

Niet zo snel

De ongekende snelheid waarmee Microsoft een patch uitbracht voor het lek, blijkt nu niet meer zo bewonderenswaardig, zo laten experts weten. ZDI en Microsoft maken niet bekend wanneer het lek is gemeld. Wel blijkt uit de meest recente lijst van ZDI waarop de lekken staan die het gemeld heeft bij softwaremakers dat het 10 lekken aan Microsoft heeft gemeld. Daarvan is de laatste gedateerd op 24 juli 2012, maar er staan ook lekken op die al in november 2011 zijn doorgegeven aan Microsoft. In het gunstigste geval zou Microsoft dus al 7 weken geleden hebben geweten van het lek in IE.