Zwei neue Sicherheitslücken im Internet Explorer

Sammel-Patch behebt neue Sicherheitslecks im Cross-Domain Security Model

Microsoft bietet ab sofort einen weiteren Sammel-Patch für den Internet Explorer der Versionen 5.x, 5.5x und 6.x für die Windows-Plattform an. Neben bisher bekannten Sicherheitslecks behebt der Patch auch zwei bisher nicht beseitigte Sicherheitslücken, die im Cross-Domain Security Model des Browsers stecken.

Artikel veröffentlicht am 6. Februar 2003, 10:05 Uhr, Ingo Pakalski

Über eine präparierte Webseite kann ein Angreifer gefährlichen Scriptcode ausführen und so Zugriff auf Daten einer anderen Domain erhalten. Darüber könnte dieser im schlimmsten Fall Programmcode auf das entsprechende System übertragen und ausführen oder bereits darauf befindlichen Programmcode starten.

Ein weiteres Sicherheitsleck steckt in der showHelp()-Funktion im Internet Explorer, die Hilfeseiten anzeigt. Durch einen Programmfehler lassen sich über eine entsprechend präparierte Webseite mehr Protokolle aufrufen als nötig. So erlaubt es einem Angreifer die Einsicht in Nutzerdaten sowie die Ausführung von Programmcode, ganz gleich ob dieser sich bereits auf dem lokalen System befindet oder vom Angreifer aufgespielt wird. Der nun veröffentlichte Patch blockiert die Hilfe-Funktion bis zur Einspielung eines separat bereitgestellten Updates für die Windows-Hilfe. Dieses Update sorgt dann dafür, dass die showHelp()-Funktion mit stärkeren Restriktionen wieder läuft.

Microsoft bietet den Sammel-Patch für Internet Explorer 5.x, 5.5x und 6.x ab sofort unter anderem in deutscher Sprache zum Download an. Für die Aktualisierung der Hilfe-Funktion stellt Microsoft entsprechende Downloads über die Windows-Update-Funktion bereit. Alternativ existieren direkte Downloads in deutscher Sprache für Windows 2000, Windows XP, Windows XP - 64 Bit Edition.