Natuklasan ng mga dalubhasa sa seguridad ang isang kahinaan sa Windows na na-rate bilang isang daluyan ng kalubhaan. Pinapayagan nito ang mga malayong pag-atake na magsagawa ng di-makatwirang code at umiiral ito sa loob ng paghawak ng mga error na bagay sa JScript. Microsoft ay hindi gumulong ng isang patch para sa bug pa. Ang Trend Micro's Zero Day Initiative Group ay nagsiwalat na ang kapintasan ay natuklasan ni Dmitri Kaslov ng Telespace Systems.

Ang kahinaan ay hindi sinasamantala sa ligaw

Walang indikasyon ng kahinaan na sinasamantala sa ligaw, ayon kay Brian Gorenc, director ng ZDI. Ipinaliwanag niya na ang bug ay magiging bahagi lamang ng isang matagumpay na pag-atake. Ipinagpatuloy niya at sinabi na ang kahinaan ay nagbibigay-daan sa pagpapatupad ng code sa isang kapaligiran ng sandbo at ang mga umaatake ay nangangailangan ng higit pang mga pagsasamantala upang makatakas sa sandbox at isagawa ang kanilang code sa isang target na sistema.

Pinapayagan ng kapintasan ang mga malalayong pag-atake na magsagawa ng di-makatwirang code sa pag-install ng Windows ngunit kinakailangan ang pakikisalamuha ng gumagamit, at ginagawang hindi gaanong kakila-kilabot ang mga bagay. Kailangang bisitahin ng biktima ang isang nakakahamak na pahina o magbukas ng isang nakakahamak na file na magbibigay-daan sa pagpapatupad ng malisyosong JScript sa system.

Ang glitch ay nasa pamantayan ng ECMAScript ng Microsoft

Ito ang sangkap ng JScript na ginagamit sa Internet Explorer. Nagdudulot ito ng mga problema dahil sa pamamagitan ng pagsasagawa ng mga aksyon sa script, ang mga umaatake ay maaaring mag-trigger ng isang pointer upang magamit muli matapos itong mapalaya. Ang bug ay unang ipinadala sa Redmond noong Enero sa taong ito. Ngayon. Inihayag ito sa publiko nang walang patch. Ang kapintasan ay may label na may marka ng CVSS na 6.8, sabi ng ZDI at nangangahulugan ito na sumasalamin sa isang katamtamang kalubhaan.

Ayon kay Gorenc, ang isang patch ay papunta sa lalong madaling panahon, ngunit walang eksaktong petsa na inihayag. Kaya, hindi namin alam kung makakasama ito sa susunod na Patch Martes. Ang tanging magagamit na payo ay para sa mga gumagamit na higpitan ang kanilang mga pakikipag-ugnay sa application sa mga pinagkakatiwalaang file.