Den nye lusa ble kunngjort i forrige uke på nettstedene Bugtraq og L0pht (se referanser til høyre). L0pht skriver at i motsetning til den forrige buffer-lusa ("res://") som ble oppdaget for noen måneder siden, rammer denne IE4 på både Windows NT og Windows 95. Det skal være rapportert at den rammer IE3 dersom klienten også har installert Microsofts utviklersuite Visual Studio.
Buffer-lusa gjør at IE kan la seg lure av utformingen av en nettadresse av typen "mk" (URL eller universal resource locator) til å kjøre eksekverbar kode skrevet i adressens forlengelse. En demonstrasjon på nettstedet L0pht viser hvordan dette kan brukes til å lamme en klient. "Mk" er en URL-type som brukes til å aksessere spesielle Microsoft-tilbud, blant annet hjelpesystemet til IE4 og hjelpeverktøy til Visual Studio. (Andre URL-typer er http, ftp osv.)
Det går fram av nettstedene Bugtraq og L0pht at det ikke er noen fiks for dette problemet ennå, bortsett fra noe en privatperson har lagt ut, og som kan ha uønskede bivirkninger. L0pht understreker at siden lusa skyldes programmeringsfeil i dekodingen av html, kan du ikke beskytte deg med IE4s "sikkerhetssoner". Skal du sikre deg helt, må du bruke noe annet enn Internet Explorer.
