Vervalste url's mogelijk met Internet Explorer

Onze oosterburen van Heise melden dat er een nieuwe fout in Internet Explorer ontdekt is. Spammers en virusschrijvers 'lokken' vaak gebruikers naar een site door in het eerste deel van de url een bekend adres te plaatsen, bijvoorbeeld www.google.com@213.239.154.35. De gebruiker herkent (het eerste deel van) de url en klikt nietsvermoedend op de link, waarna hij of zij op een andere site dan de verwachte terechtkomt. In het geval van het voorbeeld is dat Tweakers.net. De oorzaak hiervan is dat het gedeelte voor de @ herkend wordt als een gebruikersnaam op de site die erna vermeld wordt.

Dat was al langer bekend en het kan ook niet echt als een fout beschouwd worden. De bug in Internet Explorer houdt echter in dat het laatste deel, de echte url dus, niét weergegeven wordt in de adrebalk wanneer het tekentje 0x01 (
) er in voorkomt, zoals in dit geval. Dit stelt personen met minder goede bedoelingen in staat om een valse versie van bijvoorbeeld Hotmail te creëren, terwijl de gebruiker in de adresbalk de gewone url ziet staan en nietsvermoedend zijn paswoord invoert en verzendt.

Alle versies van IE 6 en ook bepaalde versies van IE 5 hebben hier last van, ook wanneer de beveiligingsinstellingen op het hoogste niveau ingesteld zijn. Microsoft brengt deze maand normaal gezien geen Security Updates meer uit, het is nu afwachten of de softwarereus ten gevolge van deze en een aantal andere recent onthulde problemen terug komt op dat besluit door een 'Emergency'-patch uit te brengen.