Chinees e-zine publiceert zero-day IE6
Gepubliceerd: Vrijdag 27 juni 2008
Auteur: Wilbert de Vries en Maarten Reijnders
Het Chinese e-zine pstzine heeft een nieuw lek in Internet Explorer 6 bekendgemaakt. Microsoft heeft de beschreven cross domain scripting flaw nog niet gedicht.
Dat schrijft Yichong Lin op het McAfee Avert Labs Blog. Security-onderzoeker Aviv Raff heeft een testpagina gemaakt die het mogelijke gevaar van het lek bevestigt.
De kwetsbaarheid is het gevolg van een input-validatiefout bij een 'location' of 'location.href' eigenschap van een window object. Het Chinese lek van Het Ph4nt0m Security Team is een variatie op een eerder bekendgemaakte kwetsbaarheid. Een bezoek aan een gemanipuleerde webpagina is voldoende om slachtoffer te worden van het lek.
Secunia classificeert het veiligheidsprobleem als 'moderately critical' (3 op een schaal van 5). Microsoft is op de hoogte van de kwetsbaarheid, maar heeft nog geen patch.
Gebruikers van Internet Explorer 6 kunnen eventuele problemen voorkomen door scripting in hun browser uitzetten. Ze kunnen ook upgraden naar Internet Explorer 7 of overstappen op een alternatieve browser zoals Firefox. Deze browsers zijn niet kwetsbaar voor het lek.
Bron: Techworld
