Kein Patch für Internet Explorer außer der Reihe

Erst am Patch-Day wird offenes Sicherheitsloch im Internet Explorer geschlossen

Nun steht fest, dass Microsoft das im März 2006 bekannt gewordene Sicherheitsloch im Internet Explorer doch erst am kommenden Patch-Day schließen wird. Am 11. April 2006 sind außerdem drei Security Bulletins für Windows geplant, mit denen als kritisch eingestufte Sicherheitslücken geschlossen werden. Schließlich ist ein viertes Security Bulletin sowohl für Windows als auch Microsoft Office geplant.

Artikel veröffentlicht am 7. April 2006, 9:52 Uhr, Ingo Pakalski

Insgesamt wird Microsoft am kommenden Patch-Day fünf Security Bulletins veröffentlichen. Das eine Security Bulletin stellt den bereits angekündigten Sicherheits-Patch für den Internet Explorer dar und wird zudem den Umgang mit ActiveX verändern. Noch bis Juni 2006 will Microsoft Kompatibilitäts-Updates anbieten, um die bald obligatorische ActiveX-Änderung bis dahin zu umgehen. Ob der geplante Browser-Patch dann auch zwei weitere ebenfalls im März 2006 entdeckte Sicherheitslücken im Internet Explorer beseitigen wird, ist derzeit nicht bekannt.

Seit März 2006 bietet Microsoft bereits ein Update für den Internet Explorer an, das die notwendigen Änderungen durch das Eolas-Patent umsetzt. Mit dem kommenden Sammel-Patch für den Internet Explorer hält die ActiveX-Änderung erstmals Einzug in ein Sicherheits-Update. Die ActiveX-Modifikationen sorgen dafür, dass die Ausführung von ActiveX-Controls erst vom Anwender bestätigt werden muss, sofern diese über "APPLET", "EMBED" oder "OBJECT" geladen werden. Der Patentinhaber Eolas hätte sich gewünscht, dass Microsoft eine Patentlizenz erwirbt anstatt den Internet Explorer zu verändern. Nach Ansicht von Eolas sei das Verhalten Microsofts eine "Enttäuschung" und "Schande", weil damit die Bedienbarkeit des Internet Explorer eingeschränkt werde.

Vor mittlerweile rund zwei Wochen wurde die bald geschlossene Sicherheitslücke im Internet Explorer bekannt, über die Angreifer beliebigen Programmcode auf fremde Systeme schleusen können. Kurze Zeit später wurde bereits Schadcode im Internet entdeckt, der sich das Sicherheitsleck in dem JavaScript-Befehl createTextRange() zu Nutze macht.