Microsoft warnt vor offener Sicherheitslücke im IE

Offene Sicherheitslücke wird derzeit nicht aktiv ausgenutzt

Nun warnt auch Microsoft offiziell vor einer am Wochenende bekanntgewordenen Sicherheitslücke im Internet Explorer, für die derzeit kein Patch bereitsteht. Laut Microsoft ist der IE in den Versionen 6 und 7 unter Windows 2000, XP und Vista sowie Windows Server 2003 und 2008 betroffen.

Artikel veröffentlicht am 24. November 2009, 9:15 Uhr, Jens Ihlenfeld

Der Angriff macht sich CSS-Informationen im Zusammenspiel mit getElementsByTagName() zunutze, um den Browser zum Absturz zu bringen und so eigenen Code auszuführen. Angreifern ist es so möglich, Code mit den Rechten des angemeldeten Nutzers auszuführen, schreibt Microsoft im Security Advisory 977981.

Demnach sind der Internet Explorer 5.01 und der Internet Explorer 8 nicht von dem Problem betroffen, die Versionen 6 und 7 sind aber anfällig. Der Protected Mode des Internet Explorer 7 unter Windows Vista schränkt die Gefahr ein.

Microsoft liegen derzeit keine Hinweise darauf vor, dass die Sicherheitslücke aktiv ausgenutzt wird. Zum Schutz rät Microsoft, die Sicherheitszonen Internet und Intranet in den Einstellungen auf "Hoch" zu setzen, um die Ausführung von ActiveX-Controls und Active Scripting zu unterbinden. Zudem sollte der Browser so eingestellt werden, dass er vor der Ausführung von Skripten um Erlaubnis fragt. Auch sollte Data Execution Protection (DEP) für den Internet Explorer 6 Service Pack 2 und Internet Explorer 7 aktiviert werden.