Thema: Schwachstellen im Microsoft Internet Explorer

[SiLæncer]

Nachdem das Bundesamt für Sicherheit in der Informationstechnik (BSI) am Wochenende vor der weiteren Verwendung von Microsofts Internet Explorer gewarnt hatte, schnellten bei Opera die Downloadzahlen hoch. Der norwegische Browser wurde nach Firmenangaben deutlich häufiger heruntergeladen.

Opera teilte Golem.de auf Nachfrage mit, dass sich die Downloadzahlen aus Deutschland bei Opera am vergangenen Wochenende mehr als verdoppelt haben. Opera sieht darin eine direkte Reaktion auf die BSI-Warnung vor dem Internet Explorer. Im Internet Explorer wurde ein Sicherheitsloch gefunden, das bereits für Angriffe auf verschiedene Firmennetzwerke missbraucht wurde. Mittlerweile kursiert Exploit-Code für Microsofts Browser im Internet.

Nach Angaben von Opera haben sich die Downloads am vergangenen Wochenende mehr als verdoppelt, so dass der Hersteller eine deutlich stärkere Nachfrage ausmachte. Statt 18.000 Downloads wurden 37.000 Downloads von Opera aus Deutschland gezählt.

Quelle : www.golem.de

[SiLæncer]

US-Medienberichten zufolge will Microsoft noch in dieser Woche einen Emergency Patch veröffentlichen, der die für Angriffe auf Unternehmen wie Google ausgenutzte Lücke im Internet Explorer schließen soll. Derzeit führen die Redmonder noch eine Qualitätssicherung des Patches durch.

Bleibt zu hoffen, dass die Redmonder die Ankündigung wahr machen, denn die Einschläge kommen näher. Mehrere Berichte von Sicherheitsspezialisten widersprechen nämlich Microsofts IE-Verwundbarkeitsmatrix, wonach eigentlich nur Anwender des Internet Explorer 6 unter Windows 2000 und XP besonders gefährdet seien. Microsoft empfiehlt aktuell, auf den Internet Explorer 8 zu wechseln, da dieser zwar die Lücke aufweise, diese dort aufgrund der aktivierten Datenausführungsverhinderung (DEP) nicht ausnutzbar sei.

Dies triftt zwar für den zuerst veröffentlichten Exploit zu. Der Browserspezialist Dino Dai Zovi hat jedoch nach eigenen Angaben einen Exploit entwickelt, der auch mit dem Internet Explorer 7 unter Vista funktioniert. Der Sicherheitsdienstleister Vupen berichtet zudem, er haben einen Exploit für den Internet Explorer 8 entwickelt, der auch mit aktiviertem DEP laufe. Einzige Abhilfe brächte nur, JavaScript abzuschalten. Vupen stellt den Exploit jedoch nur Kunden zum Test zur Verfügung. Damit wird die gestern von Microsoft zur Verfügung gestellte "Fix-it"-Lösung obsolet, da diese nur DEP abschaltet.

Bislang gibt es zwar keine Berichte, dass Kriminelle die Lücke etwa zum Verteilen von Trojanern per Drive-by-Download missbrauchen. Dennoch empfiehlt es sich, bis zur Veröffentlichtung des Updates einen alternativen Browser einzusetzen, beispielsweise Firefox oder Opera.

Quelle : www.heise.de

[SiLæncer]

Die kritische Schwachstelle des Microsoft Internet Explorer, die auch beim Google-Hack verwendet wurde, wird mittlerweile von Cyberkriminellen aktiv genutzt. Sogenannte "Drive-by-Downloads" infizieren nichtsahnende Benutzer.

Die Firma Websense gab am gestrigen Montag eine Warnung heraus, in der sie von "begrenzter öffentlicher Nutzung" der Schwachstelle berichtete. Die Schwachstelle wurde für sogenannte Drive-by-Downloads benutzt: Websites wurden entsprechend präpariert und kompromittierten die Rechner derjenigen, die mit dem Internet Explorer diese Seite aufriefen. Der Schadcode soll dabei mit demjenigen identisch sein, der von Sicherheitsexperten kürzlich veröffentlicht wurde (gulli:News berichtete). Websense arbeitet zusammen mit Microsoft daran, betroffene Websites zu identifizieren und vom Netz zu nehmen.

Ein Patch für die Schwachstelle steht noch nicht zur Verfügung. Einige Regierungen, darunter die deutsche und die französische, riefen daher bereits zur Nutzung alternativer Browser wie Firefox, Chrome, Safari oder Opera bis zur Behebung der Schwachstelle auf.

Währenddessen arbeitet Microsoft offenbar schon mit Hochdruck an einem Patch. Vermutungen, dass noch vor dem nächsten Patchday Anfang Februar ein Sicherheitsupdate für den Internet Explorer herausgegeben werden soll, scheinen sich zu bestätigen. Microsoft machte zwar noch keine eindeutige Ankündigung, begann aber weitläufig entsprechende Andeutungen und Hinweise zu streuen.

Mit dem Patch sei dann zu rechnen, wenn es auf allen Windows-Versionen getestet worden sei, heißt es. Einige Beobachter halten eine Veröffentlichung bereits am kommenden Wochenende für möglich. 


Quelle: www.gulli.com

[SiLæncer]

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat seine Warnung im Zusammenhang mit der aktuellen Sicherheitslücke im Internet Explorer erweitert. Auch bei der Verwendung von Outlook, Outlook Express, Windows Mail, Windows Live Mail, dem Hilfesystem und der Sidebar sei Vorsicht geboten.

Das BSI rät nicht nur, den Internet Explorer durch einen alternativen Browser zu ersetzen, bis Microsoft das offene Sicherheitsloch geschlossen hat. Auch bei der Verwendung anderer Microsoft-Produkte sei besondere Vorsicht geboten, denn von der Schwachstelle im Internet Explorer sind weitere Anwendungen betroffen. Die Schwachstelle beruht auf einem Fehler in der Microsoft-HTML-Bibliothek mshtml.dll und betrifft potenziell alle Anwendungen, die darauf zugreifen.

Nutzer von Outlook (bis einschließlich Outlook 2003), Outlook Express, Windows Mail und Windows Live Mail sollten laut BSI die "Eingeschränkte Zone" und nicht die "Internet-Zone" zur Anzeige von E-Mails verwenden, da dann die Ausführung von Active Scripting in der Standardeinstellung unterbunden sei. Zusätzlich sollte die Anzeige von HTML-E-Mails deaktiviert werden.

Unternehmen, in denen Outlook bis zur Version 2003 im Einsatz ist, sollten diese Einstellungen über Gruppenrichtlinien zentral vornehmen.

Darüber hinaus warnt das BSI vor dem Öffnen von Hilfedateien, insbesondere mit der Dateiendung ".chm", aus unsicheren Quellen. Auf die Nutzung der Sidebar sollte ebenfalls verzichtet werden, auch wenn Angriffe darüber eher schwierig durchführbar seien.

Die Lücke im Internet Explorer wird derzeit aktiv ausgenutzt und wurde auch für Angriffe auf Google und andere Unternehmen verwendet. Ein Patch ist in Arbeit und wird voraussichtlich außer der Reihe veröffentlicht.

Quelle : www.golem.de

[SiLæncer]

Microsoft hat jetzt offizell bestätigt, dass es für den Internet Explorer außer der Reihe einen Patch geben wird. Genauere Angaben zu einem Zeitplan will man bis spätestens 9 Uhr am morgigen Donnerstagvormittag (mitteleuropäischer Zeit) veröffentlichen. Microsoft empfiehlt Anwendern bis dahin weiterhin, auf den Internet Explorer 8 zu wechseln, da dieser über erweiterte Sicherheitsfunktionen wie Datenausführungsverhinderung (Data Execution Prevention, DEP) und den geschützten Modus (Protected Mode) verfüge. Diese würden die derzeit bekannten Angriffe unwirksam machen.

In der Tat scheitert der zuerst aufgetauchte und bei den Aurora-Angriffen benutzte Exploit an DEP. Allerdings haben Sicherheitsspezialisten diesen bereits so weit verfeinert, dass er auch unter dem Internet Explorer 7 unter Vista und sogar dem Internet Explorer 8 mit eingeschaltetem DEP funktionieren soll. Diese kursieren glücklicherweise aber bislang noch nicht in größerer Runde. Da die Lücke in der Verarbeitung eines bestimmten JavaScript-Objekts zu finden ist, hilft zuverlässig nur das Deaktivieren von JavaScript.

Derweil hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) seine Warnung vor dem Internet Explorer erweitert. Neben dem Browser sollen auch andere Microsoft-Produkte betroffen sein, die den MS HTML Viewer benutzen. dazu gehören nach Angaben des BSI Microsoft Outlook (bis einschließlich Outlook 2003), Outlook Express, Windows Mail, Windows Live Mail, das Microsoft Hilfesystem sowie die Microsoft Sidebar. Das BSI gibt diesmal jedoch keine Empfehlung für alternative Produkte.

Bei den Mail-Clients ist JavaScript standardmäßig deaktiviert, daher sind diese im Normalfall auch nicht über prärierte HTML-Mails angreifbar. Das Hilfesystem zur Verarbeitung von chm-Dateien ist indes nur angreifbar, wenn sich das Opfer eine präparierte Datei herunterlädt und öffnet. Die Sidebar ruft Informationen von Webseiten per http ab. Um Opfer dort eines Angriffs zu werden, müsste ein bereits installierte Mini-Anwendung jedoch auf eine präparierte Webseite zugreifen – ein nicht undenkbares, derzeit jedoch eher unrealistisches Szenario. Wer sich unsicher ist, schaltet die Sidebar einfach ab.

Quelle : www.heise.de

[SiLæncer]

Am heutigen Donnerstag Abend soll das Sicherheits-Update laut Ankündigung von Microsoft für den Internet Explorer erscheinen. Derweil gibt es erste   Berichte, dass öffentlich zugängliche Webserver die Lücke nun aktiv ausnutzen, um Besucher mit Schädlingen zu infizieren. Bislang gab es nur Berichte über gezielte Angriffe auf Anwender in Unternehmen wie Google, Adobe und andere. Der bislang öffentlich verfügbare Exploit funktioniert aber nur in der Kombination Internet Explorer 6 und Windows XP.

Micrososofts unterstreicht zudem im Blog des "Security Research & Defense"-Teams, dass der Wechsel auf den Internet Explorer 8 derzeit ausreichend Schutz bieten würde. Die gemeldeten Exploits für den Internet Explorer 8, die in der Lage seien, die Datenausführungsverhinderung zu umgehen, würden nur einem eingeschränkten Kreis von Sicherheitsdienstleistern und CERTs zur Verfügung stehen. Ohnehin führe der Exploit in drei von vier Fällen nur zum Absturz des Browsers, was die Redmonder der Speicherverwürfelung (Address Space Layout Randomization, ASLR) zu Gute schreiben.

Unterdessen deuten Analysen des bei den Aurora-Angriffen auf Google und Co. benutzen Schadcodes laut SecureWorks darauf hin, dass die Entwicklungen dafür schon seit längerem im Gange sind. Bestimmte Compiler-Zeitstempel des untersuchten Codes sollen auf das Jahr 2006 datieren. Nach Meinung von Joe Stewart haben sich die Entwickler auch besondere Mühe gegeben, die Herkunft der Binaries und auf welchem System sie erstellt wurden, zu verschleiern. So ließen die jedem Programm verangestellten PE-Header keine Rückschlüsse zu, dass chinesische Entwickler an der Arbeit beteiligt waren. Normalerweise enthält der PE-Header den Länder- respektive Language-Code. Entweder hätten die Autoren den Code auf einem System mit englischsprachigen Einstellungen übersetzt oder die Header später manuell geändert.

Einzig ein von der Backdoor (Hydraq) benutzter CRC-Code soll auf eine chinesische Herkunft verweisen, da eine Google-Suche dazu ausschließlich auf chinesische Seiten führe. Bei derlei Sorgfalt der Angreifer stellt sich allerdings die Frage, warum es dann nicht gelang, die Kommunikation der Backdoor mit den Kontrollservern besser zu verschleiern. Die ist zwar per SSL verschlüsselt, die Spuren sollen dennoch nach China zurück zu verfolgen gewesen sein.

Parallel zur Ankündigung des Patches für den IE hat Microsoft die gestern gemeldete Privilege-Escalation-Lücke in Windows bestätigt. Man untersuche die Lücke weiter und entscheide dann, ob, wie und in welchen Zeitrahmen man sie schließe. Als Workaround empiehlt Microsoft, die Unterstützung für 16-Bit-Anwendungen über die Gruppenrichtlinien zu deaktivieren. Der Tipp funktioniert allerdings nur bei Firmenkunden, da die Windows-Versionen der meisten Heimanwender keinen Editor für Gruppenrichtlininen mitbringen. Alternativ kann man auch in der Registry den Schlüssel \HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\AppCompat erzeugen und dort als D-Word-Wert VDMDisallowed = 1 anlegen. Unter XP lief der Exploit in Tests von heise Security anschließend nicht mehr, Automatisch funktioniert das Anlegen des Schlüssels, wenn man sich die Datei  vdmdisallow.reg mit folgendem Inhalt anlegt:


Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\AppCompat]
"VDMDisallowed"=dword:00000001


und die Datei anschließend doppelklickt (Adminrechte vorausgesetzt)

Quelle : www.heise.de

[SiLæncer]

Bei dem Notfall-Update für den Internet Explorer handelt es sich um einen Sammel-Patch, der insgesamt gleich acht verschiedene Sicherheitslücken entschärfen soll. Die sicherlich wichtigste ist der Fehler in der Speicherverwaltung, der für gezielte Einbrüche bei Firmen wie Google ausgenutzt wurde und zu dem passender Exploit-Code auch bereits im Internet kursiert.

Darüber hinaus behebt Microsoft mindestens vier weitere Probleme, für die demnächst wohl Schadcode auftauchen wird. Zwei weitere Fehler im Speichermanagement hat angeblich bereits der Dezember-Patch für den IE so entschärft, dass sie sich nicht mehr gezielt ausnutzen lassen. Und schließlich hat Microsoft anscheinend auch das bereits bekannte XSS-Problem im  Internet Explorer 8 doch noch entschärft.

Die Sicherheitsprobleme betreffen alle Versionen des Internet Explorer auf allen Windows-Versionen, einschließlich Internet Explorer 8 auf Windows 7. Das höchste Risiko trifft zwar die Anwender älterer Versionen, bei denen Schutzmechanismen wie Data Execution Prevention (DEP) und Adress Space Layout Randomisation (ASLR) noch nicht vorhanden oder aktiv sind. Doch auch die lassen sich umgehen, so dass jeder Windows-Nutzer diesen Sammel-Patch einspielen sollte. Im Übrigen können auch andere Windows-Anwendungen für die Probleme anfällig sein, wenn sie wie Outlook Komponenten des Internet Explorer verwenden. Auch diese Applikationen werden durch den Patch geschützt.

Siehe dazu auch:

    * Sammel-Update für den Internet Explorer, Sicherheitsnotiz MS10-002 von  Microsoft

Quelle : www.heise.de

[SiLæncer]

Waren diese Aufregung und der den angegriffenen Unternehmen entstandene Schaden womöglich unnötig? Möglich wäre es, denn offenbar wurde Microsoft der Fehler nicht erst kürzlich bekannt. Angeblich soll der Fehler bereits im August 2009 von der israelischen Sicherheitsfirma BugSeq entdeckt worden sein. Jerry Bryant, Mitarbeiter der Microsoft-Sicherheitsabteilung, bestätigt diese Version in einem Blogeintrag. Er schreibt: "Im Zuge [unserer] Ermittlungen haben wir auch festgestellt, dass die Schwachstelle die selbe war wie eine Schwachstelle, die uns im September in verantwortungsvoller Weise berichtet und bestätigt wurde."

Meron Sellem, Mitarbeiter von BugSeq, kritisiert Microsoft. Die Firma habe zu lange gebraucht, um einen Patch herauszubringen, erklärt er. "Ich finde, ja, es hat zu lange gedauert. Aber Microsoft ist eine große Organisation und wir wissen nicht, wie lange sie brauchen. Wir haben sie gefragt, warum es so lange dauert, und sie sagten es sei wegen den Tests, die sie durchführen mussten," berichtet Sellem.

Sicherheitsexperte Andrew Storms zeigt sich wenig überrascht über diese späte Reaktion. Er erklärt: "Wir wissen, dass diese Patches einen Monat oder so in der QA [Quality Assurance] bei Microsoft verbringen. Das heißt, wenn Microsoft im September davon erfuhr, wurde es vielleicht nicht vor Oktober in den Patch-Zyklus aufgenommen, und der Code nicht vor November geschrieben. Eine Veröffentlichung im Februar ist angesichts dessen nicht verrückt." Es sei leicht, im Nachhinein Kritik zu üben, aber es habe sich nicht voraussehen lassen, dass ausgerechnet diese Schwachstelle so massiv ausgenutzt werden würde.

Sellem allerdings berichtet, die betreffende Schwachstelle sei sehr leicht zu finden gewesen. Dementsprechend sei es kaum überraschend, dass auch Andere auf die Lücke gestoßen seien.

Wie auch immer: Mittlerweile ist die Schwachstelle durch den neuesten Patch behoben. Im Zuge des selben Updates wurden noch sieben weitere Schwachstellen, darunter einige ernsthafte, behoben. Es handelt sich um dieselben Updates, die eigentlich für die Veröffentlichung am Februar-Patchday vorgesehen waren.

Quelle: www.gulli.com

[SiLæncer]

Mit einem einfachen Script lässt sich der Internet Explorer (Version 6 und 7) zum Absturz bringen. Die aktuelle Version des Internet Explorer 8 ist nicht betroffen. Ob und wie Microsoft reagieren wird ist bislang unklar.

Kurz und bündig wurde der Angriff gegen den Microsoft Internet Explorer in Version 6 und 7 auf der Mailingliste „Bugtraq“ vorgestellt. Mit folgendem Einzeller lassen sich die beiden betroffenen Versionen des Microsoft Webbrowser ganz einfach zum Absturz bringen:

<script>document.createElement("html").outerHTML</script>

Wir haben das Script mit den aktuellen Versionen des Internet Explorer Version 6 und 7 unter Windows XP getestet – es funktioniert. Der Browser verabschiedet sich ins digitale Nirvana. Internet Explorer 8 ist gegen diese Denial-of-Service Attacke immun – der Browser lief unbeeinflusst weiter.

In letzter Zeit geriet der Internet Explorer öfter durch verschiedene Sicherleitslücken in den Fokus der Öffentlichkeit. So zwang der vor kurzem bekannt gewordene Aurora-Exploit Microsoft dazu außerhalb seines normalen Patch-Zyklus einen Patch zu veröffentlichen, nachdem erste großflächige Attacken mit Hilfe der Sicherheitslücke gestartet wurden. Im Rückenwind der aktuellen Probleme des Internet Explorers erschienen auch neue Versionen der größten Browser-Konkurrenten Firefox und Chrome.

Quelle : www.tecchannel.de

[SiLæncer]

Microsoft  kommt mit dem Internet Explorer nicht zur Ruhe: Auf der kommenden Sicherheitskonferenz Black Hat will der Sicherheitsspezialist Jorge Luis Alvarez Medina von Core Security Schwachstellen vorführen, durch die eine präparierte Webseite beliebige Dateien auf einem Windows-PC auslesen kann.

Das Problem soll eigentlich nicht neu sein und darauf beruhen, dass die Einstellungen der Sicherheitszonen im Internet Explorer nicht immer greifen, wenn eine Pfadangabe im Browser im UNC-Format (Uniform Naming Convention, UNC) angeben ist, beispielsweise \\127.0.0.1\pfad\dateiname. Damit kann ein JavaScript aus der Internet Zone unter bestimmten Umständen auf eine lokal abgelegte Datei zugreifen, obwohl das Zonemodell dies verbietet. Details dazu will Medina erst am 3. Februar auf der Black Hat veröffentlichen.

Core Security hat zwei solcher sogenannten Cross-Domain-Schwachstellen bereits 2008 und 2009 an Microsoft gemeldet (hier und hier ), die dafür auch jeweils Updates bereitgestellt haben. Bislang habe Microsoft immer nur an einer Stelle geflickt, ohne jedoch das eigentliche Problem zu behandeln. Es gebe aber weitere Wege, das Zonenmodell auszuhebeln. Laut Medina seien diese Wege sehr schwer zu versperren, da es sich um grundlegende Funktionen des Browsers handele, damit der Browser mit anderen Anwendungen nahtlos zusammenarbeiten kann.

Betroffen sind durch die Bank alle Versionen des Internet Explorer von Version 6 bis 8 auf allen verfügbaren Windows-Versionen – inklusive Windows 7. Microsoft soll über die Probleme informiert sein und mit Core Security bereits an einer Lösung arbeiten. Meldungen über erfolgreiche Angriffe durch diese Lücke gebe es nicht. Vorschläge zum Schutz machen bislang weder Medina noch Microsoft.

Erst vergangene Woche musste Microsoft mit einem Notfall-Patch eine kritische Lücke in seinem Browser schließen, durch die vermutlich chinesische Hacker erfolgreich bei Google, Adobe und anderen US-Unternehmen eindrangen.

Anwender sollten den Einsatz eines alternativen Browsers in Erwägung ziehen. Zur Wahl stehen Firefox, Chrome und Opera. Diese weisen zwar auch immer wieder kritische Sicherheitslücken auf, insbesondere in Firefox beseitigen die Entwickler häufig kritische Fehler, allerdings gab es dafür bislang so gut wie nie Zero-Day-Exploits. Zudem konzentrieren sich Kriminelle weiterhin auf den Internet Explorer als Angriffsziel. Mit dem zunehmenden Marktanteil des Firefox könnte allerdings auch dieser bald verstärkt unter Beschuss stehen.

Quelle : www.heise.de

[SiLæncer]

Microsoft hat die am Dienstag offiziell auf der Sicherheitskonferenz Black Hat DC vorgeführte Sicherheitslücke bestätigt und eine eigene Warnung veröffentlicht. Die Lücke ermöglicht es einer präparierten Webseite, auf beliebige Dateien auf dem PC zuzugreifen und deren Inhalte auszulesen. Dazu muss der Angreifer zwar den konkreten Pfad und den Dateinamen wissen, bei den üblichen Standardinstallationspfaden sind die aber meist bekannt.

Grundsätzlich sind alle Versionen des Internet Explorer von 5.01 bis 8 auf allen noch unterstützten Windows-Plattformen betroffen. Die Lücke lässt sich im Internet Explorer 7 und 8 unter Windows 7, Vista und Server 2003/2008 nicht ausnutzen, wenn im Webbrowser der geschützte Modus (Protected Mode) aktiviert ist – standardmäßig ist er das.

Microsoft untersucht nach eigenen Angaben, wie es das Problem lösen kann. Allerdings ist es wohl nicht so einfach zu lösen, wie der Entdecker der Lücke Jorge Luis Alvarez Medina von Core Security Technologies bereits mehrfach unterstrich. Kern des Problems ist, dass die Einstellungen der Sicherheitszonen im Internet Explorer nicht immer greifen, wenn eine Pfadangabe im Browser im UNC-Format (Uniform Naming Convention, UNC) angegeben ist, beispielsweise file://127.0.0.1/C$/.../index.dat. Damit kann ein JavaScript aus der Internet Zone unter bestimmten Umständen auf eine lokal abgelegte Datei zugreifen (und sie rendern), obwohl das Zonenmodell dies verbietet.

Core Security hat zwei solcher sogenannten Cross-Domain-Schwachstellen bereits 2008 und 2009 an Microsoft gemeldet, die dafür auch jeweils Updates bereitgestellt haben. Bislang hat Microsoft immer nur an einer Stelle geflickt, ohne jedoch das eigentliche Problem zu behandeln. In der Folge hat nun Medina einen weiteren Weg gefunden, lokale Dateien auszulesen. Dabei macht er sich einen Fehler bei der Ermittlung des MIME-Types von lokalen Dateien sowie eine Schwäche beim Verarbeiten von OBJECT-Tags zunutze, um die von Microsoft aufgebauten Hürden zu überwinden.

Bis zur Verfügbarkeit einer echten Lösung bietet Microsoft ein Fix-it-Tool zum Download an, mit dem der Internet Explorer das file-Protokoll nicht mehr unterstützt. In der Folge könnten aber Probleme mit anderen Anwendungen auftreten.

Quelle : www.heise.de

[SiLæncer]

Der Sicherheitsspezialist Alex Holden hat einen Weg gefunden, mit dem sich der Internet Explorer 6 durch Eingabe einer elfstelligen Zeichenfolge auf einfachste Art und Weise zum Absturz bringen lässt.

Holdens Angaben zufolge ist der Fehler auf einen Pufferüberlauf bzw. Pointer-Überlauf zurück zu führen, der im Internet Explorer 6 besteht. Die jüngeren Versionen des Microsoft-Browsers sind von dem Problem nicht betroffen, berichtet 'KrebsOnSecurity'.

Microsoft wurde von Holden angeblich schon 2004 über den Fehler informiert. Der Softwarekonzern bestätigte das Problem zwar, sah aber keinen Handlungsbedarf, weil keine ernst zu nehmenden Sicherheitsprobleme zu erwarten sind. Den Fehler wollte man ursprünglich mit einem weiteren Service Pack beseitigen, was jedoch nie geschah.

Um den Fehler auszunutzen, muss man lediglich "ms-its:%F0:" in die Adresszeile des Internet Explorer 6 eingeben und Enter drücken. Der Browser quittiert die Eingabe mit einem Absturz. Zwar stellt der Bug kein Sicherheitsrisiko dar, er könnte aber dennoch zu einem nervtötenden Problem werden.

Krebs mutmaßt, dass ein Wurm in der Lage wäre, die Einstellung für die Startseite des Internet Explorer 6 so zu verändern, dass bei jedem Start die oben genannte Zeichenfolge aufgerufen wird. Der Nutzer wäre dadurch nicht mehr in der Lage, den Browser zu öffnen. Auch der Versand entsprechender Links in E-Mails oder Instant-Messenger-Nachrichten sei denkbar, heißt es.

Quelle : http://winfuture.de

[Jürgen]

Die Internet-Optionen lassen sich auch über die Systemsteuerung erreichen, ohne ein Browser-Fenster zu öffnen.
Und darüber ist es kein Problem, die Startseite zu verändern.
Ich empfehle grundsätzlich "about:blank"...

[SiLæncer]

Sie betrifft Nutzer des Internet Explorer unter Windows XP. Ein Angreifer kann beliebigen Schadcode einschleusen und ausführen. Dazu muss sein Opfer eine manipulierte Website besuchen und über die F1-Taste die Windows-Hilfe aufrufen.

Microsoft hat vor einer Sicherheitslücke in der Windows-Hilfe gewarnt, die mittels VBScript über den Internet Explorer unter Windows XP ausgenutzt werden kann. Nutzer von Windows 7, Vista, Server 2008 und Server 2008 R2 sind nicht betroffen. Die Schwachstelle ermöglicht das Einschleusen und Ausführen beliebigen Schadcodes.

Ein Angreifer muss dafür sein Opfer auf eine manipulierte Website locken und beispielsweise mithilfe eines Pop-up-Fensters dazu bringen, mit der F1-Taste die Windows-Hilfe aufzurufen. Microsoft-Sprecher Jerry Bryant erklärte, dass bisher kein Exploit für die Codeanfälligkeit im Umlauf sei.

Die Schwachstelle wurde am Freitag, zusammen mit einem Proof-of-Concept, von iSEC Security Research veröffentlicht. Einem Advisory der Sicherheitsforscher zufolge ist der Fehler seit Februar 2007 bekannt. Microsoft kritisiert in einem Blogeintrag, dass iSEC die Lücke nicht vorab vertraulich gemeldet hat.

"Nach Abschluss unserer Untersuchungen werden wir alle nötigen Schritte einleiten, um unsere Kunden zu schützen", schreibt Bryant im Blog des Microsoft Security Response Center. Er nennt aber keinen Zeitplan für die Veröffentlichung eines Updates. Der nächste reguläre Patchday ist der 9. März.

Quelle : www.zdnet.de

[SiLæncer]

Pünktlich zum gestrigen Patch-Day hat Microsoft vor einer neuen Sicherheitslücke im Internet Explorer gewarnt. Davon sind laut derzeitigem Stand nur die Versionen 6 und 7 betroffen. Nutzer des Internet Explorer 8 sind in diesem Fall sicher.

Das Problem ist laut Microsoft eine fehlerhafte Pointer-Referenz. Der Pointer lässt sich nutzen, obwohl das Objekt, auf das verwiesen wird, bereits gelöscht ist. Mit einer speziell darauf abgestimmten Attacke ist es möglich, dass unbemerkt Schadcode auf den betroffenen Rechnern ausgeführt wird.

Die Sicherheitslücke wird laut dem Security Advisory bereits aktiv ausgenutzt. Sobald Microsoft die Untersuchungen abgeschlossen hat, wird ein Patch entwickelt. Je nach Dringlichkeit wird dieser am nächsten Patch-Day oder außerhalb des monatlichen Zyklus veröffentlicht.


Quelle : http://winfuture.de