Microsoft heeft een tijdelijke oplossing online gezet voor een probleem in SSL 3.0 en TLS 1.0. Via de kwetsbaarheid kunnen aanvallers de versleutelde HTTPS-sessie van een gebruiker kapen. Hiervoor moet wel eerst een man-in-the-middle-aanval worden uitgevoerd. De aanval werd afgelopen vrijdag tijdens een hackerconferentie gedemonstreerd.
Volgens Microsoft gaat het om een industriebreed probleem dat het gehele internet-ecosysteem treft, en niet alleen een probleem voor Windows is. Op dit moment zijn er nog geen aanvallen in het wild gesignaleerd, daarnaast zouden gebruikers een zeer klein risico lopen. Om de kwetsbaarheid te misbruiken, moet het slachtoffer al een actieve HTTPS-sessie hebben opgezet, waar de aanvaller vervolgens kwaadaardige code aan moet toevoegen, die weer in de browsersessie van het slachtoffer draait.
Oplossing
Vanwege de opzet van de aanval, moet een aanvaller over de nodige bandbreedte beschikken. TLS 1.1 en 1.2 zijn niet kwetsbaar voor de aanval, aldus Jerry Bryant van de Trustworthy Computing Group. Security Advisory 2588513 bevat een 'workaround' om het probleem te verhelpen. Het gaat dan onder andere om het inschakelen van TLS 1.1.
Ook adviseert de softwaregigant Windows-gebruikers om geen HTTP en HTTPS websites op hetzelfde moment te bezoeken. Om TLS 1.1 voor Internet Explorer en anderer WinINET-gebaseerde applicaties op Windows 7 en Windows Server in te schakelen, heeft Microsoft ook een Fix-it oplossing online gezet.
Deze posting is gelocked. Reageren is niet meer mogelijk.