Microsoft warnt in einem jetzt veröffentlichten Security Advisory vor einer noch ungepatchten Sicherheitslücke im Internet Explorer. Betroffen sind die IE-Versionen 6 und 7 unter Windows 2000, XP Server 2003 bzw. Vista sowie Server 2008.

Die Ursache für das Problem ist ein falsch referenzierter Zeiger im Microsoft HTML Viewer, der in der Datei mshtml.dll steckt. Werden bestimmte CSS/STYLE-Objekte mit der JavaScript-Funktion getElementsByTagName() verarbeitet und der Zeiger verweist auf ein bereits gelöschtes Objekt, so kann Code eingeschleust und ausgeführt werden.

Im Internet kursiert bereits ein Exploit, der von der Sicherheitslücke Gebrauch macht. Allerdings wird er nach derzeitiger Kenntnis noch von keiner Website genutzt. Da sich dies innerhalb kürzester Zeit ändern kann, arbeitet Microsoft bereits an einem Update, das vermutlich am nächsten Patch-Day (8. Dezember) erscheinen wird.

Bis dahin sollte man die Sicherheitseinstellungen für den Internet Explorer für die Internet- und für die lokale Zone auf "Hoch" stellen. Alternativ kann das Active Scripting komplett deaktiviert werden, allerdings werden dann viele Websites nicht mehr darstellbar sein.