VML-Lücke betrifft auch Outlook 2003

Das Loch kann ausgenutzt werden, wenn der Browser oder E-Mail-Client webbasierten Grafikcode in der Vector Markup Language (VML) verarbeitet. Sicherheitsexperten hatten erstmals Anfang der Woche vor der Schwachstelle gewarnt.

Bislang waren die Forscher davon ausgegangen, dass das Loch nur den Internet-Explorer betrifft, aber das US-Unternehmen Sunbelt Software hat nun nachgewiesen, dass auch Outlook-Nutzer bedroht sind. Noch haben die Hacker nicht damit begonnen, die Schwachstelle auszunutzen, aber auf einschlägigen Webseiten steht der dazu notwendige Code bereits zur Verfügung und Software, die die Lücke ausnutzten könnte, ist in Umlauf.

Die Sicherheitsexperten haben herausgefunden, dass es möglich ist, den Schadcode ohne Script-Code auszuführen, der normalerweise von Outlook geblockt wird. Indem ein Shellcode-Programm in den VML-Tag integriert wird, sei es möglich, manipulierte Software auf Outlook-2003-Systeme zu bringen. Das ist vor allem deshalb bedenklich, weil PCs so auch ohne – unfreiwillige – Mithilfe des Nutzers angegriffen werden können.  Sunbelt hat inzwischen ein Workaround für die Lücke veröffentlicht, von Microsoft gibt es Advisory.