Het Franse beveiligingsbedrijf VUPEN heeft een beveiligingslek in Internet Explorer 3 jaar lang geheim gehouden voordat het de kwetsbaarheid aan Microsoft rapporteerde. Het gaat om een kwetsbaarheid in IE8, IE9, IE10 en IE11 waardoor een aanvaller zijn rechten kan verhogen.

De kwetsbaarheid, waarvan de omschrijving vorige week door het bedrijf werd gepubliceerd, werd door VUPEN gebruikt tijdens de Pwn2Own-hackerwedstrijd. Tijdens deze wedstrijd moesten hackers en onderzoekers lekken in populaire browsers en browserplug-ins zien te vinden. Het 3-jaar oude IE-lek werd in combinatie met één of meer andere lekken gebruikt om een computer met Windows 8.1 over te nemen.

Het uit 2011 stammende lek laat een aanvaller namelijk geen willekeurige code op de computer uitvoeren wat hiervoor vereist is. Voor de succesvolle hack van IE ontving het bedrijf 100.000 dollar. Wat VUPEN verder aan het lek heeft verdiend is onbekend. Het Franse bedrijf verkoopt namelijk informatie over zero day-kwetsbaarheden, lekken waarvoor nog geen update beschikbaar is, aan allerlei partijen.

Om aan Pwn2Own mee te mogen doen moest het bedrijf akkoord gaan met de voorwaarde dat gebruikte lekken ook aan de organisatie en betreffende leverancier gemeld werden. In totaal gebruikte en onthulde VUPEN tijdens het evenement 11 verschillende zero day-lekken in Firefox, IE, Chrome, Adobe Reader en Adobe Flash Player. Het 3-jaar oude IE-lek werd op 10 juni van dit jaar door Microsoft gepatcht.