IE-8-Leck ermöglicht Datenklau

Sie erlaube es Angreifern demnach, Log-in-Daten von laufenden Verbindungen zu stehlen. “Im Internet Explorer 8 steckt eine üble Anfälligkeit”, schreibt Evans. Es sei ihm nicht gelungen, Microsoft davon zu überzeugen, einen Patch für die Schwachstelle zu entwickeln. Der Fehler ermögliche es, über eine manipulierte Website beispielsweise ein Twitter-Konto zu übernehmen.

Die Codelücke betrifft Evans zufolge möglicherweise auch andere Versionen des Microsoft-Browsers. Scheinbar handle es sich um eine Weiterentwicklung der Lücke, über die er im Dezember 2009 in seinem Blog Scarybeastsecurity berichtet habe. Microsoft sei der Fehler sogar schon seit 2008 bekannt.

Durch die Lücke könne ein Angreifer die Anmeldedaten einer schon authentifizierten Browsersitzung stehlen, so Rik Ferguson, Sicherheitsberater bei Trend Micro, in einem Blogeintrag. “Die Daten können dann missbraucht werden, um beliebige Inhalte zu veröffentlichen.” Laut Ferguson lässt sich die Schwachstelle einfach für alle Dienste ausnutzen, die, ähnlich wie Twitter, Kurz-URLs verwenden. In den Browsern Opera, Chrome, Firefox und Safari sei der Fehler schon behoben.

Im Juni hatte Microsoft den Google-Mitarbeiter Tavis Ormandy dafür kritisiert, dass er Microsoft nur fünf Tage Zeit gab, bevor er Details zu einer von ihm entdeckten Schwachstelle im Hilfe-Center von Windows XP veröffentlichte. Auch wenn Evans jetzt ebenfalls eine Lücke öffentlich macht, bevor Microsoft sie geschlossen hat, hat er dem Softwarekonzern offensichtlich mehr Zeit gegeben als sein Kollege Ormandy. Zudem scheint der Internet Explorer der einzige der fünf führenden Browser zu sein, der für die Schwachstelle noch anfällig ist.