zurück zum Artikel

Der Sicherheitsexperte Thor Larholm hat ein Sicherheitsloch im Internet Explorer veröffentlicht, das es ermöglicht, beliebige lokale Dateien oder Cookies auszulesen und auch Programme zu starten.

Thor Larholm hat ein Sicherheitsloch im Internet Explorer veröffentlicht [1], das es ermöglicht, beliebige lokale Dateien oder Cookies auszulesen und auch Programme zu starten. Betroffen davon sind zumindest die Versionen 5.5 und 6.0 des Internet Explorer. Der Sicherheitsexperte Larholm betreibt eine Liste [2] von Sicherheitslücken im Internet Explorer, auf der sich mittlerweile 19 Einträge ohne Patch finden.

Das Sicherheitsproblem beruht auf fehlenden Cross Domain security checks [3]. Diese sollen verhindern, dass zum Beispiel JavaScript auf den Inhalt einer gleichzeitig angezeigten, anderen Web-Seite zugreifen kann, die nicht vom selben Server stammt. Durch die fehlenden Tests ist es möglich, via JavaScript in ein eingebettetes Objekt eine lokale Datei einzulesen und deren Inhalt dann übers Internet zu versenden. Weitere Details und eine Demonstration der Sicherheitslücke finden Sie auf dem c't Browsercheck [4].

Microsoft wurde über das Problem vor zwei Wochen unterrichtet, hat aber bisher keinen Patch veröffentlicht. Um das Problem zu beseitigen, sollten Sie -- wie im c't Browsercheck [5] empfohlen -- das Scripting von ActiveX-Controls abschalten. (ju [6])

URL dieses Artikels:
https://www.heise.de/-62019

Links in diesem Artikel:
[1] http://www.pivx.com/larholm/adv/TL003/
[2] http://www.pivx.com/larholm/unpatched/
[3] http://msdn.microsoft.com/workshop/author/om/xframe_scripting_security.asp
[4] http://www.heise.de/ct/browsercheck/e5demo11.shtml
[5] http://www.heise.de/ct/browsercheck
[6] mailto:ju@ct.de

Copyright © 2002 Heise Medien