CVE:CVE-2009-1140
CNNVD:CNNVD-200906-158
Internet Explorer是Windows操作系统中默认捆绑的WEB浏览器 。
如果以UNC形式指定了URI(如\MACHINE_NAME_OR_IPPATH_TO_RESOURCE)的话，IE强制区域安全策略的方式存在一些问题。在这种情况下，IE将任何指向IP地址(包括127.0.0.1)的UNC地址归类为Internet区，因此，属于任何安全区域的任意网站可以将导航流重新定向到\127.0.0.1上所存储的文件。 如果控制了网站的攻击者能够设法在用户的本地文件系统上存储包含有脚本代码的HTML，然后将浏览器重新定向到该本地文件(\127.0.0.1full_file_name)，就会以Internet安全区环境加载并呈现这些代码。但由于包含有代码的文件储存在\127.0.0.1上，因此还可以访问用户文件系统上的任意其他文件 。
solution:Upgrade microsoft internet_explorer to a higher version than 6,7,5.01:sp4,6:sp1,and avoid the version 6,7,5.01:sp4,6:sp1