En farlig kombination af sikkerhedshuller i Internet Explorer kan bruges til at sende kommandoer til pc'en, som sletter filer eller formaterer hele harddisken. Det hjælper ikke at installere de seneste sikkerhedsopdateringer til Internet Explorer - den eneste effektive beskyttelse er at deaktivere Active Scripting i browseren.
Den svenske sikkerhedsekspert Andreas Sandblad har offentliggjort en detaljeret beskrivelse af sårbarheden i Internet Explorer. Sandblad bruger et cross-site-scripting sikkerhedshul i Windows-hjælpefunktionen (.chm) til at åbne en kommandolinie og kalde programmer med valgfri parametre.
Problemet skyldes at det er muligt at benytte JavaScript til at manipulere indholdet i et andet vindue. I Sandblads eksempel åbnes et nyt vindue i Internet Explorer med en hjælpefil, som afvikles med lokale rettigheder på computeren.
Til forskel fra tidligere sikkerhedshuller tillader metoden at man kan sende parametre til det program som kaldes. Sandblads eksempel bruger kun tricket til at skrive noget tekst på skærmen - men det er uden videre muligt at anvende mere destruktive kommandoer som "deltree" eller "format c:", der kan formatere hele harddisken.
Sandblad fortæller at metoden fungerer med Internet Explorer 6, selvom man har installeret alle patches fra Microsoft. Internet Explorer 5.5 skulle også være sårbar. Microsoft blev informeret den 4. oktober, men har endnu ikke udsendt en sikkerhedsopdatering som løser problemet.
På nettet cirkulerer allerede en færdig exploit, som bruger sårbarheden til at slette indholdet af A-drevet. Formateringen starter i det øjeblik man går ind på en webside som indeholder koden - og kun en deaktivering af Active Scripting kan forhindre at koden afvikles i Internet Explorer.
