Problem stanowi nieprawidłowe przetwarzanie niektórych poleceń kaskadowych arkuszy stylów (CSS) w dokumentach HTML. Udane wykorzystanie luki może skutkować wykonaniem dowolnego kodu wstrzykniętego przez atakującego metodą drive-by download (bez wiedzy użytkownika).

Jak wynika z opublikowanego przez Microsoft komunikatu, na atak podatne są wszystkie stabilne wersje Internet Explorera (od 6 do 8). Błąd prawdopodobnie nie występuje w najnowszej przeglądarce koncernu - IE 9 Beta.

>> Czytaj także: Microsoft ustanowił tegoroczny rekord w łataniu

Aby zmniejszyć ryzyko infekcji, specjaliści Microsoftu zalecają włączenie modułu Data Execution Prevention (DEP). Standardowo jest on włączony dla IE8 w systemach Windows XP z SP3, Windows Vista z SP1 i SP2, jak również w Windows 7. Użytkownicy IE7, aby włączyć DEP, mogą posłużyć się udostępnionym przez Microsoft narzędziem typu Fix it. Osoby korzystające wciąż z IE6 najlepiej zrobią, aktualizując oprogramowanie do nowszej wersji.

Warto zauważyć, że lukę zaczęto już wykorzystywać do atakowania internautów - Symantec informuje na swoim blogu o przechwyceniu e-maili zawierających odnośnik do odpowiednio spreparowanej strony. Odwiedzenie witryny skutkuje instalacją w systemie usługi o nazwie NetWare Workstation, która łączy się z serwerem zlokalizowanym w Polsce i ściąga z niego pliki GIF. Zawierają one zaszyfrowane komendy dla trojana znanego jako Backdoor.Pirpi.

>> Czytaj także: Domena Polski wśród najbardziej ryzykownych domen świata

Z informacji podawanych przez The Register wynika, że Microsoft pracuje już nad załataniem luki, na poprawkę trzeba będzie jednak poczekać do 14 grudnia. W najbliższy wtorek można natomiast spodziewać się trzech aktualizacji przeznaczonych dla pakietu Microsoft Office oraz aplikacji do połączeń VPN w serwerze Forefront Unified Access Gateway.