Abo
  • IT-Karriere:

Sieben gefährliche Sicherheitslücken im Internet Explorer

Sammel-Patch beseitigt acht Sicherheitslecks in Microsofts Browser

Mit einem Sammel-Patch korrigiert Microsoft gleich acht Sicherheitslücken im Internet Explorer, wovon fünf als gefährlich einzustufen sind. Der Sammel-Patch vom Juni 2006 korrigiert zudem zwei Spoofing-Lecks in Microsofts Browser. Außerdem stehen Patches für den JScript-Interpreter und die ART-Grafikbibliothek bereit. Über viele der nun bekannt gewordenen Sicherheitslücken können Angreifer beliebigen Programmcode ausführen und sich so eine umfassende Kontrolle über ein fremdes System verschaffen.

Artikel veröffentlicht am ,

Gleich fünf verschiedene Sicherheitslücken im Internet Explorer kann ein Angreifer für Attacken missbrauchen, indem er entsprechend präparierte Webseiten bereitstellt. Außerdem sind E-Mail-Clients davon betroffen, welche die Rendering-Engine Trident des Internet Explorer für die Darstellung von HTML-Nachrichten einsetzen.

Stellenmarkt
  1. Interhyp Gruppe, München
  2. SIZ Informatikzentrum der Sparkassenorganisation GmbH, Bonn

Ein Sicherheitsleck im Internet Explorer tritt auf, wenn Objekte Exception Handler registrieren, die womöglich nicht korrekt vom Browser verarbeitet werden. Ein weiterer Fehler betrifft die Anzeige von HTML-Inhalten mit UTF-8-Kodierung, was den Systemspeicher beschädigt. Mit Hilfe spezieller Daten kann ein Fehler im ActiveX-Steuerelement "DXImageTransform.Microsoft.Light" ausgenutzt werden und ein anderes Sicherheitsloch schlägt zu, wenn bestimmte COM-Objekte sich als ActiveX-Element anmelden und so den Systemstatus schädigen.

Während für die Ausnutzung der oben genannten Sicherheitslecks bereits die Ansicht von Webinhalten genügt, muss das Opfer bei der folgenden Sicherheitslücke aktiver sein. Denn der Angreifer muss erreichen, dass eine präparierte Webseite als Multipart-HTML-Datei gespeichert wird, um so beliebigen Programmcode einzuschleusen.

Durch einen Fehler in der CSS-Verarbeitung des Internet Explorer können Angreifer zudem Daten aus der Sicherheitszone oder -domäne eines anderen Benutzers lesen. Zwei weitere Sicherheitslücken im Internet Explorer erlauben Spoofing-Angriffe, um an vertrauliche Daten anderer Nutzer zu gelangen. Zwei unterschiedliche Fehler überschreiben jeweils den Inhalt eines anderen Browser-Fensters, um Nutzern vorzugaukeln, auf einer vertrauenswürdigen Webseite zu sein, um sich so etwa Zugangsdaten zu Bankkonten oder anderen Zugängen zu verschaffen.

Für die oben aufgeführten Sicherheitslücken im Internet Explorer ab der Version 5.01 bietet Microsoft einen Sammel-Patch zum Download an.

Ein weiteres Sicherheitsleck steckt in der Windows-Komponente zur Darstellung von ART-Bildern, die bevorzugt mit der Rendering Engine des Internet Explorer dargestellt werden. ART-Bilder verwendet vor allem die AOL-Software. Durch einen ungeprüften Puffer können präparierte ART-Dateien zur Programmausführung missbraucht werden. Ein Patch für den Internet Explorer ab der Version 5.01 steht zum Download bereit.

Mit einem weiteren Sicherheits-Patch korrigiert Microsoft einen Fehler im JScript-Interpreter, worüber Angreifer gleichfalls beliebigen Code ausführen können. Denn ein Fehler bei der Freigabe von Objekten kann zu einer Speicherbeschädigung führen. Ein Angreifer muss dazu nur eine präparierte HTML-Seite oder eine HTML-Nachricht bereitstellen bzw. versenden.

Alternativ kann die Windows-Update-Funktion bemüht werden, um die drei genannten Patches einzuspielen. Zudem hat Winboard.org inoffizielle Patch-Pakete für die verschiedenen Windows-Versionen zum Download bereitgestellt, die neben den Internet-Explorer-Löchern auch die Sicherheitslecks in Windows und im Windows Media Player schließen.



Anzeige
Spiele-Angebote
  1. 12,99€
  2. (-55%) 44,99€
  3. 32,99€

doofi 15. Jun 2006

Nur Teilweise richtig, gerade beim IE hat es mit dem Konzept zu tun. Der Internet...

doofi 15. Jun 2006

Nimm doch einfach einen andren Browser, dann kannst dir die ganze mühe mit den murks...

das große H 15. Jun 2006

Das dachte ich mir auch, als ich die Tage versuchte, WLAN auf meinem Notebook unter...

Gnarf 14. Jun 2006

Genau, und bei dieser Gelegenheit bitte auch gleich noch einen Thread für "Linux ge-ixe...

Hotspotter 14. Jun 2006

@google ==> @golem ^^ Gruß Hotspotter


Folgen Sie uns
       


Atari Portfolio angesehen

Der Atari Portfolio war einer der ersten Palmtop-Computer der Welt - und ist auch 30 Jahre später noch ein interessanter Teil der Computergeschichte. Golem.de hat sich den Mini-PC im Retrotest angeschaut.

Atari Portfolio angesehen Video aufrufen
Change-Management: Die Zeiten, sie, äh, ändern sich
Change-Management
Die Zeiten, sie, äh, ändern sich

Einen Change zu wollen, gehört heute zum guten Ton in der Unternehmensführung. Doch ein erzwungener Wandel in der Firmenkultur löst oft keine Probleme und schafft sogar neue.
Ein Erfahrungsbericht von Marvin Engel

  1. IT-Jobs Der Amtsschimmel wiehert jetzt agil
  2. MINT Werden Frauen überfördert?
  3. Recruiting Wenn das eigene Wachstum zur Herausforderung wird

SSD-Kompendium: AHCI, M.2, NVMe, PCIe, Sata, U.2 - ein Überblick
SSD-Kompendium
AHCI, M.2, NVMe, PCIe, Sata, U.2 - ein Überblick

Heutige SSDs gibt es in allerhand Formfaktoren mit diversen Anbindungen und Protokollen, selbst der verwendete Speicher ist längst nicht mehr zwingend NAND-Flash. Wir erläutern die Unterschiede und Gemeinsamkeiten der Solid State Drives.
Von Marc Sauter

  1. PM1733 Samsungs PCIe-Gen4-SSD macht die 8 GByte/s voll
  2. PS5018-E18 Phisons PCIe-Gen4-SSD-Controller liefert 7 GByte/s
  3. Ultrastar SN640 Western Digital bringt SSD mit 31 TByte im E1.L-Ruler-Format

Internetprovider: P(y)ures Chaos
Internetprovider
P(y)ures Chaos

95 Prozent der Kunden des Internetproviders Pyur bewerten die Leistung auf renommierten Bewertungsportalen mit der Schulnote 6. Ein Negativrekord in der Branche. Was steckt hinter der desaströsen Kunden(un)zufriedenheit bei der Marke von Tele Columbus? Ein Selbstversuch.
Ein Erfahrungsbericht von Tarik Ahmia

  1. Bundesnetzagentur Nur 13 Prozent bekommen im Festnetz die volle Datenrate

    •  /