MS02-023: Patch beschikbaar voor beveiligingsprobleem met cross-site scripting in lokale HTML-bron

Er is sprake van een beveiligingsprobleem met cross-site scripting in Internet Explorer dat tot verhoogde machtigingen leidt. Een aanvaller die dit beveiligingslek weet te misbruiken, kan HTML-scripts uitvoeren alsof ze lokaal op de computer van de gebruiker worden uitgevoerd. Hierdoor kunnen de scripts worden uitgevoerd buiten de beveiligingsbeperkingen die normaal gesproken van kracht zijn. De scripts kunnen derhalve elke actie op de lokale computer uitvoeren die de gebruiker kan uitvoeren. Het script kan gegevens toevoegen, wijzigen of verwijderen of beveiligingsinstellingen wijzigen die de gebruiker kan wijzigen.

Een aanvaller kan dit beveiligingslek misbruiken door een schadelijke webpagina te maken met een gemanipuleerde URL-koppeling. De aanvaller kan de pagina op een website plaatsen of deze als HTML-e-mailbericht verzenden. Het beveiligingslek wordt benut wanneer de gebruiker de schadelijke webpagina bekijkt of het e-mailbericht opent of weergeeft in een voorbeeldvenster.

Beperkingen die gelden voor de acties die de gebruiker op de lokale computer kan uitvoeren, zijn ook van toepassing op de acties van het script van de aanvaller. Als een gebruiker bijvoorbeeld niet over de machtiging beschikt om gegevens te verwijderen of beveiligingsinstellingen te wijzigen in Internet Explorer, kan het script deze acties ook niet uitvoeren. Klanten die e-mail lezen in de zone Websites met beperkte toegang, zijn niet gevoelig voor pogingen dit beveiligingslek te misbruiken door middel van HTML-e-mailberichten. Microsoft Outlook Express 6, Microsoft Outlook 98, Microsoft Outlook 2000 met de beveiligingsupdate voor e-mail van Outlook (http://www.microsoft.com/downloads/details.aspx?displaylang=nl&FamilyID=5C011C70-47D0-4306-9FA4-8E92D36332FE) en Microsoft Outlook 2002 gebruiken standaard de zone Websites met beperkte toegang voor het lezen van e-mailberichten. Klanten die Outlook 2002 Service Pack 1 (SP1) gebruiken en de functie Lezen als onbewerkte tekst hebben ingeschakeld, zijn ook ongevoelig voor de aanval via HTML-e-mail. Dat komt omdat deze functie alle HTML-elementen in e-mail uitschakelt, inclusief scripts. Klik op het volgende artikelnummer in de Microsoft Knowledge Base voor meer informatie over deze functie:

Dit beveiligingsprobleem doet zich voor omdat een lokaal bronbestand dat deel uitmaakt van Internet Explorer, een HTML-webpagina bevat waarop invoer niet correct wordt gevalideerd.

• Internet Explorer 6
• Internet Explorer 5.5 Service Pack 2
• Internet Explorer 5.5 Service Pack 1
• Internet Explorer 5.01 Service Pack 2 (alleen in Windows 2000 en Windows NT 4.0)

Internet Explorer 6

U lost dit probleem op door het meest recente service pack voor Internet Explorer 6 op te halen. In het volgende Microsoft Knowledge Base-artikel vindt u meer informatie: De update voor dit probleem is opgenomen in de cumulatieve patch voor Internet Explorer van 15.05.02. Voor meer informatie over het verkrijgen van deze patch klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

Internet Explorer 5.5 Service Pack 2

De update voor dit probleem is opgenomen in de cumulatieve patch voor Internet Explorer van 15.05.02. Voor meer informatie over het verkrijgen van deze patch klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

Internet Explorer 5.5 Service Pack 1

De update voor dit probleem is opgenomen in de cumulatieve patch voor Internet Explorer van 15.05.02. Voor meer informatie over het verkrijgen van deze patch klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

Internet Explorer 5.01 Service Pack 2 (alleen met Microsoft Windows 2000 en Microsoft Windows NT 4.0)

Deze update is alleen bestemd voor klanten die werken met Internet Explorer 5.01 Service Pack 2 (http://support.microsoft.com/default.aspx?scid=kb;%5Bln%5D;267954) op Windows 2000 Service Pack 2 (http://support.microsoft.com/default.aspx?scid=kb;%5Bln%5D;260910) of Windows NT 4.0 Service Pack 6a (http://support.microsoft.com/default.aspx?scid=kb;%5Bln%5D;152734) . Als u werkt met Internet Explorer 5.01 op een andere versie van Windows, voert u een upgrade uit naar Internet Explorer 5.5 Service Pack 2 (http://support.microsoft.com/default.aspx?scid=kb;%5Bln%5D;276369) of hoger (http://www.microsoft.com/windows/ie_intl/nl/) en past u deze update toe.

De update voor dit probleem is opgenomen in de cumulatieve patch voor Internet Explorer van 15.05.02. Voor meer informatie over het verkrijgen van deze patch klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

Internet Explorer 6

Microsoft heeft bevestigd dat dit probleem de beveiliging van Microsoft Internet Explorer 6 kan verminderen. In Service Pack 1 voor Internet Explorer versie 6 is voor het eerst een correctie aangebracht voor dit probleem.

Internet Explorer 5.5

Microsoft heeft bevestigd dat dit probleem de beveiliging van Microsoft Internet Explorer 5.5 kan verminderen.

Internet Explorer 5.01

Microsoft heeft bevestigd dat dit probleem de beveiliging van Microsoft Internet Explorer 5.01 kan verminderen.

Als u meer informatie wilt over dit beveiligingslek, gaat u naar de volgende Microsoft-website: