Een Spaanse beveiligingsonderzoeker heeft een ernstig beveiligingslek in de QuickTime plugin voor Internet Explorer ontdekt, waardoor aanvallers systemen op afstand kunnen overnemen. De exploit van Ruben Santamarta omzeilt de ASLR en DEP beveiliging van alle moderne Windows versies. Het probleem wordt veroorzaakt door een parameter die in oudere versies werd gebruikt en lange tijd in nieuwe versies onopgemerkt bleef. "Deze keer backdoor != kwaadaardige code, maar een verschrikkelijke truc van een ontwikkelaar die tijdens de ontwikkelingsfase geïmplementeerd werd", aldus Santamarta.

De kwetsbaarheid is via een drive-by aanval te misbruiken. Het probleem treft de laatste versie van QuickTime in combinatie met Internet Explorer op Windows 7, XP en Vista. De exploit van de Spanjaard werkte alleen in combinatie met Windows Live Messenger, maar inmiddels is er aan hackertoolkit Metasploit een exploit toegevoegd die ook op IE werkt.

Bizar
De oude code is zeker negen jaar onopgemerkt gebleven. H.D. Moore, de man achter Metasploit, noemt het een 'behoorlijk bizar lek." Volgens hem gaat het niet om een standaard beveiligingslek in de zin van een slecht geïmplementeerde feature. Het gaat eigenlijk om achtergebleven code. "Het is waarschijnlijk over het hoofd gezien."

Santamarta zou het lek maanden geleden al via het ZDI programma hebben gemeld, toch heeft Apple het probleem nog steeds niet gepatcht.