De details van hoe een nieuw beveiligingslek in Internet Explorer 8 is te misbruiken zijn voor iedereen openbaar geworden, nu de exploit aan een populaire hackertool is toegevoegd. Dit weekend werd bekend dat een onbekende kwetsbaarheid actief in Microsoft's browser was gebruikt bij een 'drinkplaats-aanval'. Aanvallers hadden de website van het Amerikaanse Ministerie van Werkgelegenheid gehackt.

Op de gehackte website werd de exploit geplaatst. Bij een drinkplaats-aanval zijn individuen het doelwit die uit zichzelf de gehackte website bezoeken en zo besmet raken. Microsoft bevestigde de aanwezigheid van het lek in Internet Explorer 8 op Windows XP, Vista, Windows 7, Server 2003 en Server 2008 en werkt aan een beveiligingsupdate.

Oplossing
Om misbruik te voorkomen kunnen gebruikers de instellingen van de browser aanpassen of naar een nieuwere IE-versie te upgraden, aangezien het lek daar niet aanwezig in is. IE9 en IE10 werken niet op Windows XP, waardoor het upgraden naar een alternatieve browser ook een oplossing is.

De kans op grootschalig misbruik van het lek is namelijk toegenomen nu de details openbaar zijn gemaakt. Een exploit is aan de populaire hackertool Metasploit toegevoegd. Metasploit is een 'framework' waarmee security professionals en penetratietesters de veiligheid van systemen en netwerken kunnen testen.

Browser
Daardoor zijn de details nu voor iedereen toegankelijk. Metasploit-ontwikkelaar 'sinn3r' adviseert gebruikers van Vista of een nieuwere Windows-versie naar IE9 of IE10 te upgraden. Windows XP-gebruikers doen er verstandig aan om een andere browser te gebruiken, zoals Google Chrome of Mozilla Firefox.

Sinn3r stelt dat één van de adviezen van Microsoft niet klopt. De softwaregigant adviseerde om de instelling van ActiveX controls te wijzigen, maar dit zou de exploit niet voorkomen, aangezien de aanval geen ActiveX controls gebruikt.

Beveiligingsonderzoeker Eric Romang heeft inmiddels een video gemaakt waarin de Metasploit-exploit wordt gedemonstreerd.