Extrem kritisches Sicherheitsleck in ActiveX

Der dänische Sicherheitsdienstleister Secunia hat eine Schwachstelle in den  XMLHTTP-ActiveX Controls der Microsoft Core Services Version 4.0 gemeldet. Der nicht näher spezifizierte Fehler kann für einen Remote-Angriff missbraucht werden.

Durch erfolgreiches Ausnutzen des Fehlers kann ein Angreifer beliebigen Code auf dem angegriffenen System ausführen. Dazu hat ein Hacker Gelegenheit, sobald ein Anwender mit dem Internet Explorer auf eine manipulierte Webseite gelangt.

Die Zero-Day-Attacke werde bereits sehr aktiv ausgenutzt, heißt es in dem Advisory weiter. Auch Microsoft hat inzwischen das Leck bestätigt, aber noch keinen Patch vorgelegt. Der Hersteller rät den Anwendern, die Antivieren-Software auf aktuellem Stand zu halten. Dem Hersteller seien laut eigenen Angaben allerdings nur wenige Attacken über dieses Leck bekannt.

Nicht betroffen seien Anwender des Windows Server 2003 und Windows Server 2003 mit dem Service Pack 1 mit den voreingestellten Sicherheitsparametern. Ein Angriff, so Microsoft in dem Advisory weiter, sei nur über eine bösartige Webseite möglich und rät daher zur Vorsicht beim Surfen. Microsoft erklärte, dass es im Rahmen des monatlichen Update-Zyklus einen Patch veröffentlichen werde. Auch eine frühere Aktualisierung sei möglich, das hänge von den Bedürfnissen der Anwender ab, so Microsoft.