Lücke im Internet Explorer: Rettung naht

Microsoft hat jetzt offizell bestätigt, dass es für den Internet Explorer außer der Reihe einen Patch geben wird. Genauere Angaben zu einem Zeitplan will man bis spätestens 9 Uhr am morgigen Donnerstagvormittag (mitteleuropäischer Zeit) veröffentlichen. Microsoft empfiehlt Anwendern bis dahin weiterhin, auf den Internet Explorer 8 zu wechseln, da dieser über erweiterte Sicherheitsfunktionen wie Datenausführungsverhinderung (Data Execution Prevention, DEP) und den geschützten Modus (Protected Mode) verfüge. Diese würden die derzeit bekannten Angriffe unwirksam machen.

In der Tat scheitert der zuerst aufgetauchte und bei den Aurora-Angriffen benutzte Exploit an DEP. Allerdings haben Sicherheitsspezialisten diesen bereits so weit verfeinert, dass er auch unter dem Internet Explorer 7 unter Vista und sogar dem Internet Explorer 8 mit eingeschaltetem DEP funktionieren soll. Diese kursieren glücklicherweise aber bislang noch nicht in größerer Runde. Da die Lücke in der Verarbeitung eines bestimmten JavaScript-Objekts zu finden ist, hilft zuverlässig nur das Deaktivieren von JavaScript.

Derweil hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) seine Warnung vor dem Internet Explorer erweitert. Neben dem Browser sollen auch andere Microsoft-Produkte betroffen sein, die den MS HTML Viewer benutzen. dazu gehören nach Angaben des BSI Microsoft Outlook (bis einschließlich Outlook 2003), Outlook Express, Windows Mail, Windows Live Mail, das Microsoft Hilfesystem sowie die Microsoft Sidebar. Das BSI gibt diesmal jedoch keine Empfehlung für alternative Produkte.

Bei den Mail-Clients ist JavaScript standardmäßig deaktiviert, daher sind diese im Normalfall auch nicht über prärierte HTML-Mails angreifbar. Das Hilfesystem zur Verarbeitung von chm-Dateien ist indes nur angreifbar, wenn sich das Opfer eine präparierte Datei herunterlädt und öffnet. Die Sidebar ruft Informationen von Webseiten per http ab. Um Opfer dort eines Angriffs zu werden, müsste ein bereits installierte Mini-Anwendung jedoch auf eine präparierte Webseite zugreifen – ein nicht undenkbares, derzeit jedoch eher unrealistisches Szenario. Wer sich unsicher ist, schaltet die Sidebar einfach ab.

Siehe dazu auch:

• Lücke im Internet Explorer: Gute und schlechte Nachrichten
  
• Gezielte Angriffe auf Unternehmen gehen weiter
  
• Exploit für IE-Sicherheitslücke jetzt öffentlich
• BSI warnt vor Nutzung des Internet Explorer
• "Rote Hacker": Cyber-Attacken aus China
• Sicherheits-Update für Adobe Reader und Acrobat verfügbar
  
• US-Bericht: China verstärkt Spionageangriffe auf Unternehmen
  
• Chinesische Spionage-Software infiltriert Rechner tibetischer Exil-Regierung
• Antivirenhersteller rät vom Einsatz des Adobe Reader ab

(dab)