Tijdens de Pwn2Own hackerwedstrijd is na Google Chrome ook Internet Explorer 9 gesneuveld. Wederom waren het onderzoekers van het Franse beveiligingsbedrijf VUPEN die er met de eer vandoor gingen. De Fransen gebruikten twee beveiligingslekken in Internet Explorer 9 om vervolgens een 64-bit Windows 7 Service Pack 1 systeem over te nemen. Bij de aanval werden zowel de ASRL/DEP beveiligingsmaatregelen als de Protected Mode sandbox omzeild.

Volgens Chaouki Bekrar, mede-oprichter van VUPEN, speelt het probleem niet alleen in IE9. "Dit gaat terug tot IE6. Het werkt van IE tot IE10 op Windows 8", aldus de Fransman.

Sandbox
Die merkt op dat Microsoft alleen de 'heap overflow' krijgt waardoor het uitvoeren van willekeurige code op het systeem mogelijk is. De aanval op de Protected Mode, waardoor de onderzoekers uit de sandbox konden breken, is alleen beschikbaar voor klanten. Dat is één van de regels van de competitie, en ook reden voor Google om Pwn2Own dit jaar niet te sponsoren. Bekrar merkt op dat zijn team nog veel meer lekken in Protected Mode heeft ontdekt die nog allemaal niet gepatcht zijn.

Inmiddels hebben de onderzoekers ook naar Internet Explorer 10 gekeken, en die browser blijkt vanwege nieuwe beveiligingsmaatregelen veel lastiger te hacken. "Het misbruiken van lekken is veel moeilijker en kost veel meer tijd, maar ze zorgen ervoor dat de prijzen voor kwetsbaarheden en exploits omhoog gaan." Iets waar het Franse beveiligingsbedrijf weer van profiteert.