Beim Import von kaskadierenden Stylesheets (CSS) besitzt der Internet Explorer eine Schwachstelle. Diese lässt sich ausnutzen, um zum Beispiel vertrauliche Nutzerdaten, wie Kreditkartennummern, Passwörter oder Zugangsdaten für Online-Dienste auszuspionieren.
Um seine Entdeckung zu beweisen liefert der Entdecker Matan Gillon eine Homepage, bei der sich der kritische Fehler zeigt, indem sie die Informationen einer installierten Google-Desktop-Suche aufzeigt.
Durch "@import" oder durch die Javascript-Funktion "addimport" lassen sich externe CSS-Dateien einbinden. In diesen kann auch gefährlicher Code stecken, der dann fälschlicherweise als CSS erkannt wird, auch wenn dieser Code keinen Sinn ergibt.
Die Sicherheitslücke tritt aber nur auf, weil die Sicherheitsrichtlinien herabgesetzt wurden. Dieser Schuss ging aber nach hinten los. Deswegen sollten Benutzer des IE vorerst entweder Javascript deaktivieren, oder besonders bei nicht vertrauenserweckenden Seiten große Vorsicht walten lassen. Denn bis ein Patch heraus kommt, könnte es nämlich noch eine Weile dauern.
Firefox und Opera sind von diesem Vorfall dagegen nicht betroffen und können weiterhin unbesorgt Surfen.
