W Internet Explorerze wykryto trzecią lukę. Jest to luka krytyczna, która pozwala na zdalne wykonanie kodu. Co więcej, opublikowano już kod "proof of concept", co oznacza, że do momentu udostępnienia łaty zagrożone są w pełni zaktualizowane wersje Internet Explorera. Zdaniem specjalistów, wkrótce pojawi się exploit wykorzystujący tę najnowszą lukę.

Problem znany jest już firmie Microsoft, która uznała, że luka warta jest wydania poradnika bezpieczeństwa i potwierdziła, że pozwala ona na zdalne wykonanie kodu na komputerze ofiary. Wszystko, co musiałby zrobić użytkownik, to wyświetlić zawierającą złośliwy kod stronę www lub tylko banner, albo otworzyć zainfekowany załącznik wiadomości e-mail. Luka wynika z błędu w sposobie, w jaki IE obsługuje metodę DHTML - createTextRange(), który umożliwia zdalne wykonanie kodu.

W środę Secunia opublikowała zalecenia dotyczące najnowszej luki, która obecnie oceniana jest jako ekstremalnie krytyczna. Według firmy Microsoft, luka dotyczy programu Internet Explorer 5.01 SP4 zainstalowanego na systemie Microsoft Windows 2000 SP4, Internet Explorer 6 dla Windows XP SP2 oraz Windows Server 2003, jak również Internet Explorer 6 SP1 zainstalowanego na Windows 2000 SP4, Windows XP SP1, Windows 98, 98 SE oraz Millenium Edition. Według niektórych doniesień, luka została również stwierdzona w programie Internet Explorer 7 Beta 2 Preview (wydanym w styczniu), jednak Microsoft podkreśla, że problem nie dotyczy wersji wydanej 20 marca 2006 roku.

Microsoft potwierdził, że pracuje nad poprawką, którą zamierza opublikować w ramach comiesięcznej aktualizacji zabezpieczeń albo poza cyklem. Firma zaleca użytkownikom, aby do czasu udostępnienia łaty zachowali ostrożność podczas odwiedzania podejrzanych stron www oraz otwierania załączników i klikania odnośników z nieznanych źródeł. Secunia radzi użytkownikom, aby wyłączyli usługę Active Scripting w IE. Wszyscy użytkownicy powinni się upewnić, że posiadają uaktualnione oprogramowanie antywirusowe oraz załatany system operacyjny.

Źródło: Microsoft TechNet Secunia ZDNet