De tijdelijke oplossing die Microsoft voor een ernstig beveiligingslek in Internet Explorer 6, 7 en 8 uitbracht stopt alle actieve aanvallen, ook al liet een Nederlandse beveiligingsonderzoeker zien dat de Fix It-oplossing van de softwaregigant niet waterdicht is. Microsoft kwam op 1 januari met een zogeheten Fix It-oplossing, waarmee gebruikers eenvoudig de browser kunnen beschermen.

Die bescherming is nodig voor een nieuw lek in de browser dat eind december werd ontdekt. Aangezien de maandelijkse patchronde van Microsoft op 7 januari plaatsvond, had het niet meer voldoende tijd om een update te ontwikkelen en testen. Daarop kwam het met de Fix It-oplossing. De kwetsbare code die hackers op dit moment actief aanvallen om computers over te nemen, wordt door deze oplossing uitgeschakeld.

Aanvallen
De Nederlandse beveiligingsonderzoeker Peter Vreugdenhil en medeoprichter van het beveiligingsbedrijf Exodus Intelligence, ontdekte dat de Fix It-oplossing van Microsoft geen volledige bescherming biedt.

"Na minder dan een dag reverse engineeren, ontdekten we dat we de fix konden omzeilen en een volledig gepatcht systeem met een variant van de exploit die we eerder deze week hadden ontwikkeld konden compromitteren", zo laat Vreugdenhil op het bedrijfsblog weten.

Oplossing
Bij Microsoft zijn ze op de hoogte van het onderzoek van Vreugdenhil. "We zagen het rapport dat de Fix te omzeilen is", laat Microsofts Dustin Childs tijdens een webcast weten. "We kunnen bevestigen dat de Fix alle actieve aanvallen blokkeert die wij hebben gezien."

De softwaregigant zou inmiddels 'non-stop' aan een beveiligingsupdate werken. "We adviseren iedereen om naar Internet Explorer 9 of 10 te upgraden of de Fix te installeren." De volgende patchronde van Microsoft staat gepland voor 12 februari. Of het de update eerder in de vorm van een noodpatch zal uitbrengen hangt af van het aantal waargenomen aanvallen.