MS02-023: Patch beschikbaar voor beveiligingsprobleem met betrekking tot vrijgeven van lokale informatie via HTML-element

Er is sprake van een beveiligingsprobleem met betrekking tot het vrijgeven van informatie in Internet Explorer. Een aanvaller die dit beveiligingslek weet te benutten, kan bestanden op de lokale computer van de gebruiker bekijken.

Een aanvaller kan dit beveiligingslek proberen te misbruiken door een webpagina te maken die een specifiek object bevat. Bij het maken van de pagina moet de aanvaller de naam en locatie van het te lezen bestand opgeven. De aanvaller kan de pagina als HTML-e-mailbericht verzenden of deze op een website plaatsen. Wanneer de gebruiker de webpagina bekijkt door het e-mailbericht te openen of de pagina in een browser weer te geven, kan de pagina misbruik maken van het beveiligingslek.

De impact van dit beveiligingslek wordt beperkt door een aantal belangrijke factoren:

• Het beveiligingslek kan alleen worden gebruikt voor het lezen van informatie. Via het beveiligingslek kan geen informatie worden toegevoegd, gewijzigd of verwijderd.
• De aanvaller moet de exacte naam en locatie van de te lezen bestanden weten.
• Alleen bestanden met een specifiek, individueel ASCII-teken kunnen worden gelezen. Als dit enkele teken niet aanwezig is, mislukt de poging het bestand te lezen.
• Bij dit beveiligingslek is het vereist dat het uitvoeren van scripts is ingeschakeld. Als de webpagina wordt weergegeven in de zone Websites met beperkte toegang, kan het beveiligingslek niet worden benut. Als een webpagina wordt weergegeven in de zone Websites met beperkte toegang of als e-mail wordt gelezen in de zone Websites met beperkte toegang, is het beveiligingslek onschadelijk.
• Microsoft Outlook Express 6, Microsoft Outlook 98, Microsoft Outlook 2000 met de beveiligingsupdate voor e-mail van Outlook (http://www.microsoft.com/downloads/details.aspx?displaylang=nl&FamilyID=5C011C70-47D0-4306-9FA4-8E92D36332FE) en Microsoft Outlook 2002 gebruiken standaard de zone Websites met beperkte toegang voor het lezen van e-mailberichten en zijn ongevoelig voor een aanval via HTML-e-mail.
• Klanten die Microsoft Office XP Service Pack 1 (http://support.microsoft.com/default.aspx?scid=kb;%5Bln%5D;307841) gebruiken en de functie Lezen als onbewerkte tekst hebben ingeschakeld, zijn ongevoelig voor de aanval via HTML-e-mail. Klik op het volgende artikelnummer in de Microsoft Knowledge Base voor meer informatie over deze functie:
  307594  (http://support.microsoft.com/kb/307594/NL-NL/ ) Outlook 2002: Gebruikers kunnen onbeveiligde e-mail lezen als onbewerkte tekst

Dit beveiligingsprobleem doet zich voor vanwege een incorrecte afhandeling wanneer een bepaald HTML-object een bestand op de lokale computer aanroept.

• Internet Explorer 6
• Internet Explorer 5.5 Service Pack 2
• Internet Explorer 5.5 Service Pack 1
• Internet Explorer 5.01 Service Pack 2 (alleen in Windows 2000 en Windows NT 4.0)

Internet Explorer 6

U lost dit probleem op door het meest recente service pack voor Internet Explorer 6 op te halen. In het volgende Microsoft Knowledge Base-artikel vindt u meer informatie: De update voor dit probleem is opgenomen in de cumulatieve patch voor Internet Explorer van 15.05.02. Voor meer informatie over het verkrijgen van deze patch klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

Internet Explorer 5.5 Service Pack 2

De update voor dit probleem is opgenomen in de cumulatieve patch voor Internet Explorer van 15.05.02. Voor meer informatie over het verkrijgen van deze patch klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

Internet Explorer 5.5 Service Pack 1

De update voor dit probleem is opgenomen in de cumulatieve patch voor Internet Explorer van 15.05.02. Voor meer informatie over het verkrijgen van deze patch klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

Internet Explorer 5.01 Service Pack 2 (alleen met Microsoft Windows 2000 en Microsoft Windows NT 4.0)

Deze update is alleen bestemd voor klanten die werken met Internet Explorer 5.01 Service Pack 2 (http://support.microsoft.com/default.aspx?scid=kb;%5Bln%5D;267954) op Windows 2000 Service Pack 2 (http://support.microsoft.com/default.aspx?scid=kb;%5Bln%5D;260910) of Windows NT 4.0 Service Pack 6a (http://support.microsoft.com/default.aspx?scid=kb;%5Bln%5D;152734) . Als u werkt met Internet Explorer 5.01 op een andere versie van Windows, voert u een upgrade uit naar Internet Explorer 5.5 Service Pack 2 (http://support.microsoft.com/default.aspx?scid=kb;%5Bln%5D;276369) of hoger (http://www.microsoft.com/windows/ie_intl/nl/) en past u deze update toe.

De update voor dit probleem is opgenomen in de cumulatieve patch voor Internet Explorer van 15.05.02. Voor meer informatie over het verkrijgen van deze patch klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

Internet Explorer 6

Microsoft heeft bevestigd dat dit probleem de beveiliging van Microsoft Internet Explorer 6 kan verminderen. In Service Pack 1 voor Internet Explorer versie 6 is voor het eerst een correctie aangebracht voor dit probleem.

Internet Explorer 5.5

Microsoft heeft bevestigd dat dit probleem de beveiliging van Microsoft Internet Explorer 5.5 kan verminderen.

Internet Explorer 5.01

Microsoft heeft bevestigd dat dit probleem de beveiliging van Microsoft Internet Explorer 5.01 kan verminderen.

Als u meer informatie wilt over dit beveiligingslek, gaat u naar de volgende Microsoft-website: