Microsoft patcht kritische Internet-Explorer-Lücke

Microsoft hat die kritische Schwachstelle im Internet Explorer, die bereits aktiv für Angriffe ausgenutzt wird, am gestrigen Freitagabend mit einem Notfall-Update geschlossen. Die Lücke befindet sich in den IE-Versionen 6 bis 9 und führt dazu, dass ein Angreifer das System beim Besuch einer speziell präparierten Webseite mit Schadcode infizieren kann. Die Schwachstelle ist seit vergangenem Montag bekannt, seit Dienstag kursiert ein passendes Metasploit-Modul.

Bei dieser Gelegenheit hat Microsoft auch noch vier weitere Lücken ähnlicher Art geschlossen, die dem Unternehmen nach eigenen Angaben vertraulich von Sicherheitsexperten gemeldet und noch nicht für Angriffe ausgenutzt wurden. Den CVE-Nummern zufolge wurden die vier Schwachstellen deutlich vor dem Bekanntwerden der Lücke vom Montag gemeldet.

Bei den Lücken handelt es sich um sogenannte Use-after-free-Fehler, also dem Zugriff auf einen zuvor freigegebenen Speicherbereich. Das führt dazu, dass der IE Shellcode ausführt, den der Angreifer zuvor im Speicher platziert hat.

Laut Microsoft wird der Patch ab sofort über Windows Update verteilt. Wer die automatische Update-Funktion von Windows aktiviert hat, muss also nichts weiter tun. Alle anderen können den zum Betriebssystem passenden Patch auch manuell herunterladen.

Darüber hinaus hat das Unternehmen etwas für die Early Adopters von Windows 8 getan, indem es den in den IE 10 integrierten Flash-Player auf den aktuellen Stand gebracht hat. Das Update behebt einen Fehler, der es Dateien erlaubte, durch manipulierte Fonts Software einzuschleusen. Microsoft ist mit dem neuen IE dazu übergegangen, das Flash-Plug-in fest in den Browser zu integrieren. Theoretisch sollen Updates die Anwender dadurch schneller und zuverlässiger erreichen, da der Browser sie selbst automatisch herunterlädt und installiert. (rei)