Internet Explorer trotz SP2 anfällig für Phishing-Attacken

Browser lässt sich fremde Inhalte unterschieben. Wieder einmal ist ein Problem in Microsofts Internet Explorer aufgetaucht, das Angreifern Phishing-Angriffe erlaubt. Durch einen Fehler im "DHTML Edit Active X Control" lassen sich dem Browser beliebige Webinhalte unterschieben, ohne dass der Nutzer dies merkt oder etwas dazutun muss.

17. Dezember 2004 um 10:21 Uhr / Jens Ihlenfeld

Der von Greyheads entdeckte und dokumentierte Fehler tritt in der "execScript()"-Funktion auf und gefährdet auch Systeme mit Windows XP Service Pack 2. So lässt sich beliebiger Script-Code im Browser des Nutzers ausführen.

Greyheads bieten eine Demo zu der Sicherheitslücke an. Die Demo öffnet die Seite google.com im DHTML-Edit-Control und versucht, die Daten in "location.href" und "document.cookie" in einer Box anzuzeigen. Genauso gut könnten diese Daten aber auch an einen Angreifer übermittelt werden.

Betroffen von der Phishing-Lücke ist der Internet Explorer 6.0 und Microsoft Windows XP mit SP1 und SP2. Abhilfe schafft derzeit nur die maximale Erhöhung der Sicherheitsstufe für die Zone Internet, so dass ActiveX deaktiviert wird.