Mooie letters verbergen hackaanval. Nieuwe patch dicht lekke webfonts

Dinsdag verscheen een update van het bulletin, met een patch die een nieuw lek aanpakt. Het gaat wederom om een kwetsbaarheid die bijna alle gangbare versies van Windows treft. Ook de oudere Windows 98 en Millennium hebben er last van.

Het nieuwe probleem wordt beschreven in het pas verschenen Microsoft Security Bulletin MS06-002 en werd ontdekt door eEye Digital Security. In het bulletin valt te lezen dat de kwetsbaarheid zich bevindt in de afhandeling van ingebedde webfonts. Dat zijn lettertypes die een sitebouwer meegeeft met de webpagina, bijvoorbeeld om een site een unieke stijl mee te geven. De meeste webmasters doen dit niet en kiezen ervoor om fonts te gebruiken die aanwezig zijn op een doorsnee machine.

Ingebedde lettertypes blijken nu een aardig veiligheidsrisico te zijn. Een aanvaller kan in principe een aangepaste font meegeven met een html-pagina of -mail die Windows openbreekt. Daarna kan hij zijn eigen code (bijvoorbeeld een Trojaans paard of worm) op de pc uitvoeren.

Volgens Microsoft wordt de kwetsbaarheid nog niet actief misbruikt, maar vermoedelijk zal dat niet lang duren. Een verzwarende omstandigheid is dat het lek via heel veel applicaties aanspreekbaar is. Niet alleen Microsoft-producten die html tonen (zoals IE of Outlook Express) zijn kwetsbaar, ook software van derden loopt volgens eEye gevaar.

Geschikte software wordt bij nieuwe Windows-versies aangeboden via de WindowsUpdate-functie. Wie werkt met Windows 98 of Millennium moet handmatig naar de WindowsUpdate-site surfen.