Extrem kritisches Sicherheitsleck im Internet Explorer

Die Sicherheitsunternehmen, die von dem Gebrauch des Microsoft Internet Explorers aus Sicherheitsgründen abgeraten haben, sind jetzt offenbar um ein Argument reicher. Die Experten von Secunia melden jetzt einen Fehler in dem Browser, der nach Ansicht des Unternehmens “extrem kritisch” ist. Daneben hat Microsoft beim allmonatlichen Patch-Day insgesamt sechs Fehler berichtigt, darunter auch zwei, die als ‘kritisch’ eingestuft werden.
Das dänische Sicherheitsunternehmen berichtet von einem Leck, das es einem Remote-Angreifer ermöglicht, Sicherheitssysteme zu umgehen und sich Zugriff auf das System zu verschaffen. Mit einem zonenübergreifendem Script können dann Dateien im angegriffenen System gestartet werden. Dazu muss der Nutzer allerdings ein manipuliertes HTML-Dokument aufrufen. Die Lücke werde bereits ausgenutzt, um andere Software zu installieren.

Der Fehler tritt auch auf Rechnern auf, die alle aktuellen Sicherheitsupdates aufgespielt haben. Betroffen ist die Version 6 des Internet Explorers. Die Sicherheitsexperten raten, die Unterstützung für ‘Active Scripting’ für alle nicht vertrauenswürdigen Seiten auszuschalten. Zudem kann ein Filter eingerichtet werden, der in “Location:”-Headern, die das Prefix “URL:” in einem Proxyserver eingetragen haben, blockiert.

Parallel dazu hat Microsoft sieben Bulletins veröffentlicht, mit denen ‘kritische’ und ‘moderate’ Fehler behoben werden. ‘Kritisch’ ist die höchste Sicherheitsstufe des Unternehmens. Die kritischen Lecks sind im ‘Task Scheduler’ und in der Hilfefunktion zu finden. Sie können dazu führen, dass fremder Code auf dem System ausgeführt, das System zum Absturz gebracht wird oder dass Daten verloren gehen, wie das Sicherheitsunternehmen Symantec mitteilt.

Bei dem Task Scheduler ist ein ungeprüfter Buffer für das Problem verantwortlich. Hat der angegriffene User Administratorrechte, kann der Hacker komplett die Kontrolle über das System übernehmen. Der zweite Fehler betrifft die HTML-Hilfe und ‘ShowHelp’, auch hier kann der Angreifer gegebenenfalls die Kontrolle über das gesamte System erlangen.