Security: Vier ungepatchte Lücken im Internet Explorer
Die HP-Tochter Tipping Point hat Informationen zu vier Lücken im Internet Explorer für Windows Phone veröffentlicht. Microsoft weiß seit vier Monaten davon, Patches stehen aber noch aus.
Gleich vier Lücken im Internet Explorer für Windows Phone haben die Experten bei Tipping Point veröffentlicht. Die HP-Tochter hatte Microsoft bereits vor vier Monaten über die Schwachstellen informiert. Microsoft bat um diese Frist, um die Schwachstellen zu schließen. Bis jetzt wurden die Lücken nicht geschlossen, deshalb entschied sich Tipping Point, die Informationen darüber zu veröffentlichen.
Alle drei entdeckte Tipping Point im Internet Explorer für Windows Phone. Diese Schwachstelle lässt sich allerdings nur ausnutzen, wenn der Nutzer explizit einen E-Mail-Link oder eine Instant-Messenger-Nachricht anklickt. Anwender sollten darauf achten, dass Active Scripting in den Sicherheitseinstellungen nur nach einer Benutzereingabe ausgeführt werden darf. Diese Schwachstelle wurde während des Hacking-Wettbewerbs Mobile Pwn2Own vom Vupen-Mitarbeiter Nicolas Joly entdeckt. Er konnte damals aber nicht die Sandbox von Microsofts Browser überwinden.
Die drei weiteren Schwachstellen benötigen ebenfalls eine Benutzereingabe, damit der jeweilige Exploit ausgenutzt werden kann. Auch hier gilt, die Sicherheitseinstellungen für Active Scripting so zu setzen, dass eine Interaktion des Anwenders benötigt wird. Bei allen Lücken handelt es sich um sogenannte Use-After-Free-Schwachstellen, die sich jeweils über die Objekte CtreePos, CCurrentStyle und CattrArray ausnutzen lassen. Auch sie funktionieren nur im Kontext des laufenden Prozesses. Es müsste also eine weitere Schwachstelle im Betriebssystem bestehen, um das System selbst anzugreifen.
Nachtrag vom 25. Juli 2015, 15:45 Uhr
In der ursprünglichen Meldung stand, dass ein Teil der genannten Lücken den Internet Explorer in der Desktop-Version betreffen. Dem ist nicht so. Gemeint ist ausschließlich Microsofts Browser in der mobilen Variante. Der Text wurde entsprechend geändert. Wir bitten, dies zu entschuldigen.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
Eigentlich nicht, bin wohl nur gerne ausführlich. ;) Jepp, da stimme ich dir in beiden...
Merkt man schon an dem (sinnlosen und fachlich unkorrektem) Inhalt. Hat er nicht. Reines...
Wie soll man das denn ausschalten. Das geht nicht. Irgendwas stimmt mit dem Artikel nicht.
Text wrde zu schnell getippt.