Er is een kwetsbaarheid in de Virtual DOS Machine van Windows ontdekt die al in Windows NT uit 1993 zat en alle daaropvolgende versies van het OS treft. Microsoft brengt ondertussen een patch uit voor het beruchte lek in Internet Explorer.

Het lek werd ontdekt door Tavis Ormandy van Googles beveiligingsteam. De weinig gebruikte Virtual DOS Machine, die voor ondersteuning van 16bit-applicaties zorgt, zou volgens hem meerdere beveiligingsproblemen hebben. Deze zouden kwaadwillenden in staat kunnen stellen 16bit-applicaties zo aan te passen dat daarmee op beheerdersniveau code uitgevoerd kan worden. Overigens kan de kwetsbaarheid niet op afstand uitgebuit worden: de aanvaller moet lokaal ingelogd zijn om er misbruik van te kunnen maken. Ormandy zou de problemen op 12 juni 2009 gemeld hebben. Microsoft raadt aan de NT Virtual DOS Mode uit te schakelen, maar het bedrijf heeft er nog geen patch voor beschikbaar gesteld.

Follow up:

Wel heeft Microsoft een patch gereed voor het beruchte lek in Internet Explorer waarvan vermoed wordt dat deze door de Chinese overheid gebruikt is voor de aanval op Googles Gmail. Microsoft stelt de patch donderdag, dus buiten de gebruikelijke patch-cyclus, beschikbaar. Het bedrijf had grote haast bij de ontwikkeling van de lapmiddelcode, aangezien het lek tot gezichtsverlies en waarschijnlijk zelfs tot een dalend gebruik van IE heeft geleid. Onder andere de Duitse, Franse en Australische overheid hebben afgeraden de browser van Microsoft te gebruiken tot een patch uitgebracht zou zijn. Mozilla meldt dat in de vier dagen na de oproep, in Duitsland 300.000 extra downloads van de Firefox-browser zijn genoteerd. Ook Opera nam in Duitsland een stijgend aantal downloads van zijn browser waar.