E-mailclient Outlook 2003 blijkt kwetsbaar voor het ernstige beveiligingsgat in webbrowser Internet Explorer. Dat gat is eind vorige week ontdekt en wordt sinds maandag actief misbruikt door kwaadaardige code, zij het nog niet via e-mail.
Terwijl Microsoft werkt aan een patch, biedt ontdekker Sunbelt Software een manier om het gat af te dekken. Die zogeheten workaround is woensdag nog aangepast om Windows in andere talen (dan het Engels) te omvatten. Aanvankelijk adviseerde Sunbelt het uitschakelen van JavaScript, wat Outlook van zichzelf al kan weren. Sunbelt heeft ontdekt dat het gat ook zonder script-code misbruikt kan worden. De aangepaste workaround schakelt de VML-dienst (Vector Markup Language) uit waarin het beveiligingsgat zit. VML dient voor het weergeven van grafische informatie op het web.
De begin deze week ontdekte malware draait op een reeks Russische porno-sites en installeert spyware via het gat in VML. De malware is al opgenomen in exploit-hulpmiddelenpakket Web Attacker dat kwaadwillenden een complete 'bouwdoos' biedt voor malware. Beveiligingsexperts voorzien dan ook een snelle verspreiding van deze exploit. Beveiligingsbedrijf Secunia noemt het gat 'extreem kritiek', wat zijn zwaarste classificatie is.
Microsoft zegt dat de aanvallen echter nog beperkt zijn en is dus vooralsnog niet ernstig bezorgd. Het werkt aan een patch die in zijn volgende patch-ronde (op 10 oktober) meegaat. Eerder uitbrengen gebeurt alleen indien omstandigheden daartoe aanleiding geven, aldus de officiële verklaring van de softwareproducent.
