Microsoft negeert rapportage Windows-lek

'Redirect to SMB' zoals de kwetsbaarheid is gedoopt, wordt geactiveerd door een gebruiker door het aanklikken van een malafide link of door in de adresbalk van de browser 'file://' te tikken, gevolgd door een URL. Windows verwacht dat de gebruiker daarmee een bestand op een lokale server probeert op te roepen en levert automatisch de inloggegevens van de gebruiker. Deze komen weliswaar in een versleutelde versie beschikbaar, maar met een beetje computer met grafische processor is de 8-karakter sleutel in een halve dag te kraken, volgens Cylance.

Microsoft wimpelt het gevaar weg

Het probleem is voor het eerst gemeld in 1997, maar Microsoft heeft nooit de moeite genomen er iets aan te doen, volgens Cylance. Er is ook wat discussie over de ernst van het probleem. Microsoft zegt al in 2009 in twee aparte bulletins adviezen te hebben gegeven hoe een gebruiker zich kan beschermen tegen misbruik van het lek. De belangrijkste daarvan is dat gebruikers geen links aanklikken in mail van afzenders die ze niet kennen.

De kwetsbaarheid doet zich volgens Cylance voor in combinatie met 31 programma's, waarvan Internet Explorer en Excel 2010 de belangrijkste zijn. Carnegie Mellon Institute vroeg gisteren ook aandacht voor het probleem. Het doet zich voor in combinatie met praktisch alle programma's die contact maken met internet, concludeert de universiteit in een eigen publicatie.