Neuer Sicherheits-Patch für Internet Explorer
Im " Microsoft Security Bulletin MS02-023 – Cumulative Patch for Internet Explorer (Q321232)(öffnet im neuen Fenster) " vom 15. Mai 2002 nennt Microsoft Details zu den sechs Sicherheitslücken, die nun geschlossen sein sollen:
- Eine der mit dem Internet Explorer ausgelieferten Dateien mit integriertem HTML-Code konnte von Angreifern genutzt werden, um in diese per Webseite oder HTML-Mail Scripte einzuschleusen und mit höherer Berechtigung auszuführen als erlaubt.
- Eine Sicherheitslücke bei Cascading Style Sheets erlaubte Angreifern, per Webseite oder HTML-Mail ein HTML-Objekt aufzurufen, das lokale Daten anzeigte, sofern deren genaue Position bekannt ist. Allerdings beschränkte sich dieses laut Microsoft auf Dateien, die ein bestimmtes ASCII-Zeichen enthielten.
- Mittels eines speziellen Cookies und einer Website, die diesen verteilt, konnten Angreifer die Daten anderer Cookies auslesen, versenden und sogar verändern. Allerdings sei auch dafür das Wissen über den Dateinamen des Cookies vonnöten, so Microsoft.
- Eine Website konnte so modifiziert werden, dass Webseiten unerwünscht in der Lokalen-Intranet-Seite oder in seltenen Fällen sogar als vertrauenswürdige Site ausgeführt wurde. Bei erfolgreichem Angriff würde die Webseite mit weniger Sicherheits-Beschränkungen als erwünscht ausgeführt, so Microsoft.
- Zwei Varianten der "Content Disposition"-Schwäche (Microsoft Security Bulletin MS01-058) erlaubten es, dem Internet Explorer beim Download mittels falscher Informationen – u.a. durch falsche Dateiendung – vorzugaukeln, dass die heruntergeladenen Daten automatisch ausgeführt werden dürfen. Mittels einer Website oder HTML-Mail könnten so ausführbare Inhalte wie etwa EXE-Dateien automatisch ausgeführt werden. Die neuen Varianten erfordern allerdings, dass die vorgegaukelten Dateitypen mit Anwendungen verknüpft sind, die für sie nicht zu öffnende Dateien automatisch ans Betriebssystem zur Ausführung weiterleiten. Eine erfolgreiche Attacke erfordere also, dass der Angreifer weiß, dass sein Opfer eine dieser Anwendungen auf seinem System hat.
Die wohl wichtigste Änderung betrifft jedoch Outlook Express 6.0, Outlook 98 und Outlook 2000 mit dem Outlook E-Mail Security Update sowie Outlook 2002: Microsoft hat die Regeln für eingeschränkte Sites geändert, unter die bei den genannten Microsoft-Mailern auch HTML-E-Mails fallen. Da Frames nun für eingeschränkte Sites standardmäßig deaktiviert sind, sollen HTML-Mails keine neuen Fenster oder den Start von Downloads mehr ermöglichen – dies dürfte die Verbreitung von virtuellen Schädlingen und insbesondere Dialern weiter eindämmen.
Windows-Nutzer können den Patch entweder über die Windows-Update-Funktion(öffnet im neuen Fenster) einspielen oder von der entsprechenden Security-Update-Seite(öffnet im neuen Fenster) (Q321232: Security Update) für die unterstützten Explorer-Versionen herunterladen.