Gefährliches Sicherheitsloch im Internet Explorer

Microsoft bietet Patches für zwei Sicherheitslücken im Internet Explorer

Am Patch-Day für den Oktober 2005 nimmt sich Microsoft unter anderem zwei Sicherheitslücken im Internet Explorer vor. Während das eine Sicherheitsloch als weniger gefährlich eingestuft wird, kann ein Angreifer über das andere Leck beliebigen Programmcode ausführen, sofern er sein Opfer zum Besuch einer präparierten Webseite oder Ansicht einer manipulierten HTML-E-Mail bringt.

Artikel veröffentlicht am 12. Oktober 2005, 10:42 Uhr, Ingo Pakalski

Bei der Verarbeitung von COM-Objekten als ActiveX-Steuerelemente im Internet Explorer ab der Version 5.x macht sich eine von Microsoft als kritisch eingestufte Sicherheitslücke bemerkbar, durch die Systemspeicher beschädigt wird. Darüber kann ein Angreifer dann beliebigen Programmcode mit den Rechten des angemeldeten Nutzers ausführen und so eine umfassende Kontrolle über ein fremdes System erlangen. Um Teile dieser Sicherheitsanfälligkeit hatte sich Microsoft bereits im August 2005 gekümmert und nun insgesamt 39 Aufrufe aus dem Internet Explorer deaktiviert. Somit ersetzt der aktuelle Patch auch das Sicherheits-Update vom August 2005.

Opfer müssen lediglich dazu gebracht werden, eine entsprechend präparierte Webseite zu öffnen oder aber eine HTML-E-Mail zu öffnen, sofern der verwendete E-Mail-Client die Rendering Engine von Microsofts Internet Explorer verwendet, was etwa auf Outlook und Outlook Express zutrifft. Das jetzt geschlossene Sicherheitsloch wurde laut Microsoft-Erkenntnissen bereits akiv ausgenutzt, so dass der bereitgestellte Patch zügig installiert werden sollte. Microsoft bietet Patches für den Internet Explorer ab der Version 5.x zum Download an. Auch Windows XP mit Service Pack 2 ist anfällig für diese Sicherheitslücke. Entdeckt und an Microsoft gemeldet wurde das Sicherheitsleck von den Sicherheitsspezialisten von eEye, die angeben, dass es 26 Tage gedauert hat, bis Microsoft den Patch bereitgestellt hat.

In den FTP-Funktionen des Internet Explorer 6 sorgt ein weiteres Sicherheitsloch dafür, dass Angreifer den Speicherort einer per FTP-Protokoll übertragenen Datei verändern können, weil der vom FTP-Server übermittelte Dateiname nicht korrekt geprüft wird. Die Sicherheitslücke tritt nur dann auf, wenn die Option "Ordneransicht für FTP-Sites aktivieren" im Internet Explorer eingeschaltet ist, weshalb Microsoft die Gefährlichkeit des Sicherheitslochs als mittel einstuft. Passende Patches stehen für Windows 2000, XP mit Service Pack 1 und Windows Server 2003 zum Download bereit. Windows XP mit Service Pack 2 ist von dem Sicherheitsloch nicht betroffen.

Die genannten Sicherheits-Patches für den Internet Explorer bietet Microsoft ab sofort über die betreffenden Security Bulletins zum Download an. Alternativ können die Patches über die Update-Funktion des Betriebssystems bezogen werden.