Microsoft hat eine Sicherheitslücke in Internet Explorer bestätigt, die der Experte Jorge Luis Alvarez Medina von Core Security entdeckt hat. Ein Angreifer, der die Lücke ausnutzt, kann Daten der C:-Partition des Opfers auslesen. Dazu muss er den betroffenen Anwender nur auf eine Webseite locken und dazu bringen, einen entsprechend präparierten Link zu klicken. Um aus der Schwachstelle Kapital zu schlagen, muss der Angreifer allerdings den genauen Pfad der Datei angeben, auf die er zugreifen will. Bei Windows-Standard-Installationen ist das jedoch nicht schwer.

Microsoft gibt in einem Sicherheitshinweis zum Thema an, dass die Sicherheitslücke nur auftritt, wenn der "Protected Mode" des Internet Explorer ausgeschaltet ist - in der Standardinstallation von Internet Explorer auf Windows Vista und Windows 7 sowie von Windows Server 2008 ist er aktiviert. Man habe im Moment noch keine Hinweise darauf, dass die Lücke ausgenutzt werde. 

Nach Angaben von Heise Security liegt der Fehler darin, dass die IE-Einstellungen für die Sicherheitszonen nicht immer greifen. Gibt ein Angreifer einen Pfadnamen im UNC-Format an (UNC: Uniform Naming Convention), kann ein Javascript unter Umständen aus der Internetzone auf eine lokale Datei zugreifen.

Microsoft bietet eine Fix-it-Lösung an, die das Problem für den Moment beheben soll, indem sie das File-Protokoll von Internet Explorer deaktiviert. Heise zufolge kann das aber zu nicht näher spezifizierten Problemen mit anderen Programmen führen.