Abo
  • Services:
Anzeige

Schwere Sicherheitslöcher im aktuellen Internet Explorer

Sicherheitsloch umgeht Sicherheitsfunktion im Windows XP Service Pack 2

Der Sicherheitsexperte mit dem Pseudonym http-equiv hat erneut zwei Schwachstellen in Microsofts Internet Explorer aufgespürt, worüber ein Angreifer eine weit reichende Kontrolle über ein fremdes System erlangen kann. Darüber lässt sich auch eine mit dem Service Pack 2 für Windows XP eingeführte Sicherheitsfunktion aushebeln, die eigentlich den Internet Explorer besser vor derartigen Attacken schützen sollte.

Wie http-equiv herausfand, werden Drag-and-Drop-Operationen immer noch nicht ausreichend genug geprüft, obwohl Microsoft erst vor einer Woche am 13. Oktober 2004 einen Patch veröffentlicht hat. Damit sollte die im August 2004 bekannt gewordene und ebenfalls von http-equiv entdeckte Drag-and-Drop-Sicherheitslücke eigentlich geschlossen werden.

Anzeige

Dennoch lassen sich Drag-and-Drop-Operationen von der Internet-Zone auf den lokalen Rechner weiterhin von Angreifern ausnutzen. Der Internet Explorer prüft in Webseiten eingebundene Bilder- und Multimediadateien nicht korrekt, so dass ein Angreifer über eine präparierte HTML-Seite beliebigen Active-Scripting-Code in der "lokalen Zone" des Internet Explorer auf einem fremden Rechner laufen lassen kann. Darüber ließen sich zahlreiche Aktionen auf einem fremden System ausführen, um so eine weit reichende Kontrolle darüber zu erlangen.

Mit dem Service Pack 2 für Windows XP hat Microsoft das Ausführen von Active Scripting in der lokalen Zone des Internet Explorer unterbunden, um so eine Vielzahl von möglichen Angriffsszenarien im Vorfeld zu unterbinden. Daher lässt sich das oben genannte Sicherheitsloch auch nicht ohne weiteres auf Systemen ausnutzen, auf denen das Service Pack 2 für Windows XP installiert ist.

Allerdings umgeht das zweite von http-equiv entdeckte Sicherheitsloch diese mit dem Service Pack 2 eingeführte Schranke, so dass das erste Sicherheitsloch dadurch auch auf Systemen mit installiertem Service Pack 2 zuschlagen kann. Im Zusammenspiel mit einem HTML-Help-Control lässt sich das Sicherheitszonenmodell im Internet Explorer umgehen. Dazu muss ein HTML-Help-Control auf eine präparierte Index-Datei (.hhk) verweisen und schon lassen sich auf lokaler Ebene beliebige HTML-Dokumente ausführen.

Auch vor diesen beiden Sicherheitslöchern kann man sich schützen, indem man ActiveScripting im Internet Explorer deaktiviert oder eben auf einen anderen Browser ausweicht. Microsoft bietet bislang keinen Patch zur Abhilfe an.


eye home zur Startseite
Keldorn 18. Nov 2004

irgendwie ist das schon eine merkwürdige sache mit den sicherheitslöchern, egal ob es ein...

:-) 24. Okt 2004

...das mit der "einen" fehlenden Richtung mag ich noch einsehen... :-) Vielleicht ist...

r=2gm/c^2 22. Okt 2004

Achja? Dabei weiß doch _jeder_: Gott ist in Bielefeld. Schon immer gewesen.

Safari-User 22. Okt 2004

Ein Auto, das einen Plattfuß hat, läuft auch weiter (auf den Felgen *g* Wenn der IE so...

Robert 22. Okt 2004

es muss eine Richtung geben, jedenfalls für den der das Licht sieht, gesehen hat, sehen...



Anzeige

Stellenmarkt
  1. Kreis Herford, Herford
  2. DIEBOLD NIXDORF, Neu-Isenburg
  3. HighTech communications GmbH, München
  4. über Nash Technologies, Böblingen


Anzeige
Blu-ray-Angebote
  1. (u. a. Game of Thrones, Big Bang Theory, The Vampire Diaries, Supernatural)
  2. (u. a. Logan Blu-ray 9,97€, Deadpool Blu-ray 8,97€, Fifty Shades of Grey Blu-ray 11,97€)
  3. (u. a. Hacksaw Ridge, Deadpool, Blade Runner, Kingsman, Arrival)

Folgen Sie uns
       


  1. Radeon Software Adrenalin 18.2.3

    AMD-Treiber macht Sea of Thieves schneller

  2. Lifebook U938

    Das fast perfekte Business-Ultrabook bekommt vier Kerne

  3. Wochenrückblick

    Früher war nicht alles besser

  4. Raumfahrt

    Falsch abgebogen wegen Eingabefehler

  5. Cloud

    AWS bringt den Appstore für Serverless-Software

  6. Free-to-Play-Strategie

    Total War Arena beginnt den Betabetrieb

  7. Funkchip

    US-Grenzbeamte können Pass-Signaturen nicht prüfen

  8. Telekom-Chef

    "Sorry! Da ist mir der Gaul durchgegangen"

  9. WD20SPZX

    Auch Western Digital bringt flache 2-TByte-HDD

  10. Metal Gear Survive im Test

    Himmelfahrtskommando ohne Solid Snake



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Sam's Journey im Test: Ein Kaufgrund für den C64
Sam's Journey im Test
Ein Kaufgrund für den C64
  1. THEC64 Mini C64-Emulator erscheint am 29. März in Deutschland
  2. Sam's Journey Neues Kaufspiel für C64 veröffentlicht

Age of Empires Definitive Edition Test: Trotz neuem Look zu rückständig
Age of Empires Definitive Edition Test
Trotz neuem Look zu rückständig
  1. Echtzeit-Strategie Definitive Edition von Age of Empires hat neuen Termin
  2. Matt Booty Mr. Minecraft wird neuer Spiele-Chef bei Microsoft
  3. Vorschau Spielejahr 2018 Zwischen Kuhstall und knallrümpfigen Krötern

Samsung C27HG70 im Test: Der 144-Hz-HDR-Quantum-Dot-Monitor
Samsung C27HG70 im Test
Der 144-Hz-HDR-Quantum-Dot-Monitor
  1. Volumendisplay US-Forscher lassen Projektion schweben wie in Star Wars
  2. Sieben Touchscreens Nissan Xmotion verwendet Koi als virtuellen Assistenten
  3. CJ791 Samsung stellt gekrümmten Thunderbolt-3-Monitor vor

  1. Re: Internet oder Monitor, was findet man öfter...

    Akiba | 11:22

  2. Re: kann ich demnächst meine Notdurft auch in der...

    Apfelbrot | 11:16

  3. Re: Nur einmal einsetzbar?

    CSCmdr | 11:15

  4. Re: einfache lösung

    Vögelchen | 11:01

  5. Re: beta.

    robinx999 | 10:58


  1. 11:26

  2. 11:14

  3. 09:02

  4. 17:17

  5. 16:50

  6. 16:05

  7. 15:45

  8. 15:24


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel