Microsoft sichert Internet Explorer [Update]

Mit einem als kritisch eingestuften Update reagiert Microsoft auf die immer häufiger auftretenden Sicherheitslöcher des Internet Explorer. Anders als bei bisherigen Patches beschränken sich die Redmonder nicht darauf, eine konkrete Lücke zu stopfen, sondern gehen ein grundlegendes Problem an, das viele der neueren Exploits ausnutzen. Dieses Update ändert die Konfiguration des Internet Explorer so ab, dass sich Schwachstellen nicht mehr so einfach ausnutzen lassen.

Bereits September 2003 berichtete heise Security, dass das ADODB.Stream-Objekt beliebige Dateien schreiben kann. Einziger Schutz: Dies ist nur mit den Rechten des lokalen Rechners möglich. Es tauchten aber in regelmäßigen Abständen immer wieder Sicherheitsprobleme auf, über die sich Web-Seiten genau diese Rechte erschleichen konnten. Die Konsequenz: Via ADODB.Stream konnten sie dann auch gleich ein Programm auf dem System des Anwenders installieren. Nach diesem Muster arbeiten nahezu alle neueren Exploits, unter anderem auch der im Browsercheck unter "Laden und Ausführen beliebiger Dateien über IE-Hilfe" demonstrierte. Microsofts bisherige Patches versuchten immer, das Loch zu schließen, über das die Web-Seite die Rechte der lokalen Zone erlangte.

Diesmal weicht Microsoft von diesem Weg ab und deaktiviert den Aufruf des ADODB.Stream-Objekts im Internet Explorer. Dies geschieht über einen Registry-Eintrag, den man auch von Hand erstellen kann. Einfacher ist jedoch die Installation des Updates KB870669, das diese Veränderung vornimmt.

Dieses Update beseitigt unter anderem die Schwachstelle des Internet Explorer, auf die das letzte Woche veröffentlichte Bulletin Was Sie über "Download.Ject" wissen sollten hinwies. Windows-Anwender sollten es unbedingt so schnell wie möglich installieren.

Update:
Mittlerweile steht das Update auch über die automatische Update-Funktion von Windows zur Verfügung stehen; dies ist die empfohlene Installationsmethode.

Siehe dazu auch:

• KB870669: Critical Update for Microsoft Data Access Components, Beschreibung und Download des Updates (teilweise in englisch)
• How to disable the ADODB.Stream object from Internet Explorer, Microsoft Knowledge Base Article 870669
• So deaktivieren Sie das Objekt "ADODB.Stream" im Internet Explorer, Microsoft Knowledge Base Artikel 870669