Extrem kritischer IE-Bug macht die Runde

Nur kurz nachdem Sicherheits-Unternehmen wie Symantec und Secunia die erste Warnung vor dem neuen Leck im Microsoft-Browser veröffentlichten, haben beide die Gefahrenstufe noch einmal erhöht.

Der Fehler nutzt eine Schwachstelle des CreateTextRange bei JavaScript aus. Was die Hersteller dazu veranlasst hat, die Alarmstufe heraufzusetzen, ist die Tatsache, dass nun ein Exploit für den Fehler aufgetaucht ist.

“Das DeepSight-Team hat dieses Exploit getestet und bestätigt, dass es tatsächlich auch, wie angekündigt, bei einer voll gepatchten XP-Maschine erfolgreich ist”, teilte Symantec mit.

Das derzeit zirkulierende Exploit ist an sich harmlos. Es startet lediglich den Rechner in Windows XP. Dennoch warnen die Experten, denn auch für einen wenig geübten Hacker sei es ein Leichtes, den Code abzuändern und statt dessen ein anderes Programm ablaufen zu lassen. Daher erweiterte auch der dänische Sicherheitshersteller Secunia den Alarm auf ‘extrem kritisch’, in der Skala des Unternehmens die höchste Stufe.

Hersteller Microsoft hat den Fehler inzwischen bestätigt. “Unsere Nachforschungen haben ergeben, dass diese Verwundbarkeit einem Hacker erlauben kann, beliebigen Code auf dem System in dem Sicherheitsbereich des angemeldeten Nutzers auszuführen”, heißt es in der Mitteilung.

Jedoch seien bislang keine Fälle bekannt geworden, dass ein Hacker tatsächlich über die Schwachstelle in Systeme eingedrungen sei. Dazu müssten die Angegriffenen auf eine spezielle Seite gelenkt werden, wo das System über manipulierte Inhalte oder Werbebanner infiziert werden kann.

Eine andere Möglichkeit sei, die Nutzer über einen Link in einer Mail auf eine bösartige Seite zu lenken, oder den Schadcode in einem Dateianhang an einer Mail zu verbergen. In beiden Fällen reiche der Schaden so weit, wie die Rechte des angemeldeten Nutzers. Ist man also als Administrator an dem System angemeldet sei der potentielle Schaden weitaus höher, teilte Microsoft mit.

Nun hat Microsoft angekündigt, einen Patch für diesen Fehler zu liefern, bislang hat das Unternehmen jedoch noch keinen Zeitplan vorgelegt. Bis Microsoft den Fehler behebt, können sich Anwender schützen, indem sie die Sicherheitseinstellungen im Browser erhöhen oder Active Scripting deaktivieren.