De beveiligingsmaatregelen in Internet Explorer 8 die gebruikers tegen hackers moeten beschermen, zorgen er juist voor dat gebruikers risico lopen. Tijdens de Black Hat Europe conferentie demonstreerden onderzoekers David Lindsay en Eduardo Vela Nava hoe de filters in IE8, die Cross-Site Scripting (XSS) moeten voorkomen, het mogelijk maken om XSS-aanvallen uit te voeren.

"Het is ironisch dat je filter gebruikt die ontworpen zijn om de beveiliging te verbeteren, om aanvallen uit te voeren op websites die beveiliging serieus nemen", aldus Lindsay. Websites die anders niet kwetsbaar voor XSS zijn, worden dit door het filter van IE8. Het filter scant uitgaande requests op mogelijk kwaadaardige strings. Wordt zo'n string gedetecteerd, dan genereert IE8 een reguliere expressie die aan de string gelijk is. De browser zoekt vervolgens naar hetzelfde patroon in de antwoorden van de server. Bevat het antwoord het patroon, dan gaat IE8 ervan uit dat er een XSS-aanval plaatsvindt, en wordt het antwoord van de server aangepast, zodat de aanval mislukt.

Patch
De onderzoekers ontdekten een manier om via JavaScript een XSS-aanval na te bootsen. Deze aanpak zorgde ervoor dat de JavaScript code die de website tegen aanvallen beschermt, werd uitgeschakeld en de aanval toch mogelijk was. Microsoft werd begin dit jaar ingelicht en heeft het probleem inmiddels gepatcht, wat ook geldt voor Google en andere grote sites.