Microsoft: Im Internet Explorer ist eine ungepatchte Lücke

In Microsofts Internet Explorer ist eine gefährliche Sicherheitslücke, für die es noch keinen Patch gibt. Durch diese kann Code auf einer infizierten Webseite ausgeführt und das System kompromittiert werden.

Artikel veröffentlicht am 8. Dezember 2014, 19:35 Uhr, Jörg Thoma

Im Internet Explorer ist eine bislang ungepatchte große Sicherheitslücke (Bild: Microsoft)

Eine im Juni 2014 entdeckte Sicherheitslücke im Internet Explorer wurde jetzt durch die Zero Day Initiative veröffentlicht. Durch sie lässt sich Code von einer infizierten Webseite ausführen. Dadurch könnte ein Angreifer die Rechte über ein System erlangen, die der Benutzer selbst besitzt. Einen Patch von Microsoft gibt es noch nicht, obwohl die Lücke bereits im Juni 2014 gemeldet wurde. Welche Versionen von Microsofts Browser betroffen sind, geht aus der Mitteilung nicht hervor, es ist aber davon auszugehen, dass es sich dabei um alle Versionen handelt.

Der Angreifer kann über eine Schwachstelle in der Verarbeitung von CElements im Internet Explorer eine Use-After-Free-Schwachstelle ausnutzen, um Code auszuführen. Die Schwachstelle wurde im Juni 2014 von Arthur Gerkis entdeckt und auch an Microsoft gemeldet. Dort wurde der Erhalt des Hinweises zwar bestätigt, einen Patch gibt es aber bislang nicht. Entsprechend der Vereinbarung zur verantwortungsvollen Veröffentlichung (Responsible Disclosure) habe die Zero Day Initiative sechs Monate gewartet, bevor die Schwachstelle veröffentlicht wurde.

Eine hohe Sicherheitsstufe hilft

Anwendern wird geraten, die Sicherheitsstufe der Internet Zone im Internet Explorer auf "hoch" zu setzen, um das Ausführen aktiver Inhalte zu verhindern. Außerdem lässt sich die Sicherheitsstufe so anpassen, dass ein Anwender die Ausführung von aktiven Inhalten wie Skripts oder ActiveX-Controls bestätigen muss. Zusätzlich sollten Anwender das von Microsoft bereitgestellte Enhanced Mitigation Experience Toolkit (EMET) installieren und zur Nutzung mit dem Internet Explorer konfigurieren.

Auf den Server-Versionen von Windows laufe der Internet Explorer standardmäßig mit genügend Einschränkungen, um einen Angriff zu verhindern, heißt es in der Mitteilung der Zero Day Initiative. Auch über HTML-Mails lasse sich die Schwachstelle nicht ausnutzen, da Microsoft Outlook, Microsoft Outlook Express und Windows Mail sie nur im eingeschränkten Modus öffneten. Anwender müssten daher explizit auf eine infizierte Webseite umgeleitet werden.

Am Dienstag wird Microsoft bei seinem monatlichen Patchday sieben Patches bereitstellen, darunter einen für den Internet Explorer. Unklar ist, ob damit auch die jetzt veröffentlichte Schwachstelle geschlossen wird.