Sicherheitslücke im Internet Explorer 5.5 und 6.0 (Update)

Angreifer können Dateien auslesen und beliebigen Programmcode ausführen

Der Internet Explorer ab der Version 5.5 besitzt ein Sicherheitsleck bei der Anzeige von frame- und iframe-Elementen, so dass Angreifer diese dazu missbrauchen können, beliebigen Programmcode auszuführen, Webseiten zu verändern oder Dateien auszulesen. Einen Patch bietet Microsoft bislang nicht an.

Artikel veröffentlicht am 10. September 2002, 10:15 Uhr, Ingo Pakalski

Wie die israelische Sicherheitsfirma GreyMagic Software in einem aktuellen Security Advisory berichtet, missachtet der Internet Explorer mit der Versionsnummer 5.5 oder höher die gesetzten Protokoll- und Sicherheitsstufen bei der Anzeige von frame- oder iframe-Elementen.

Dadurch kann ein Angreifer Cookie-Daten von einer beliebigen Site stehlen, den Inhalt einer Webseite verändern, lokale Dateien auslesen oder sogar beliebige Programme auf dem lokalen System starten.

GreyMagic Software gibt an, die Sicherheitslücke bereits Anfang August an Microsoft gemeldet zu haben, ohne dass der Hersteller bislang einen Patch angeboten hat. Als Notlösung empfehlen die Entdecker der Sicherheitslöcher, das Active Scripting im Internet Explorer vorerst zu deaktivieren.

Update:
Wie GreaMagic mitteilte, ist dieser Fehler im aktuellen Service Pack 1 im Internet Explorer 6.0 nicht mehr enthalten. Die Programmierer betonen jedoch, dass das Sicherheitsloch nicht gestopft, sondern nur umgangen wurde. Denn der Internet Explorer 6.0 blockiert mit dem SP1 alle Links, die mit res:// oder file:// beginnen, so dass dieses aktuelle Sicherheitsloch nicht mehr ausgenutzt werden kann.