Absturz des Internet Explorer durch verschachtelte Objekte

Michal Zalewski hat erneut eine Schwachstelle im Internet Explorer ausfindig gemacht, über die möglicherweise von Webseiten eingeschleuster Code ausgeführt werden könnte. Durch verschachtelte OBJECT-Elemente in einem HTML-Dokument stürzt der Internet Explorer ab.

Der Internet Explorer stolpert Zalewski zufolge bei der Dereferenzierung eines NULL-Zeigers in der Funktionsbibliothek mshtml.dll. Dadurch kann es zu undefiniertem Programmverhalten kommen; eingeschleuster Code könnte ausgeführt werden.

Wie schon in der Vergangenheit hält Zalewski sich jedoch nicht mit tiefgehenden Analysen der Schwachstellen auf, sondern schließt aus der Erfahrung mit älteren Lücken auf die Tragweite. Er stellt jedoch vier Seiten bereit, die fehlerhaftes Verhalten des Internet Explorer demonstrieren:

• Seite 1: sofortiger Absturz
• Seite 2: falscher Wert im ESI-Register beim Aktualisieren oder Verlassen der Seite
• Seite 3: Page-fault beim Schließen des Internet-Explorers
• Seite 4: falscher Wert im ESI-Register beim Aktualisieren oder Verlassen der Seite

Das ESI-Prozessor-Register (Source) enthält etwa die Startadresse zu einem Kopierbefehl (Quelle).

Mehrere Anwender konnten das von Zalewski beobachtete Verhalten nachvollziehen. Auf einem Testsystem mit Windows XP SP2 auf aktuellem Patch-Stand bei heise Security führten nur die erste und letzte Seite zu einem Browser-Crash. Betroffen sind wahrscheinlich alle IE-Versionen auf allen unterstützten Betriebssystemen.

Zalewski bedient sich der Fuzzing-Technik, um Schwachstellen im Internet Explorer aufzuspüren. Dabei erzeugt er – für gewöhnlich per Skript automatisiert – zahlreiche fehlerhafte Grafiken und Internetseiten, die er dem Browser zum Verarbeiten übergibt. Dabei eventuell auftretende Fehler analysiert er dann im Debugger. Mit derselben Methode hat Tom Ferris vom Sicherheitsdienstleister Security Protocols kürzlich mehrere Schwachstellen in Mac OS X 10.4.6 entdeckt.

Siehe dazu auch:

• MSIE (mshtml.dll) OBJECT tag vulnerability, Sicherheitsmeldung von Michal Zalewski auf Full Disclosure

(dmk)