Internet Explorer: Außerplanmäßiges Update stopft kritisches Loch

Das außerplanmäßige Update für den Internet Explorer beseitigt die Ende Dezember gemeldete Zero-Day-Lücke in den IE-Versionen 6, 7 und 8. Ein Angreifer könnte die Schwachstelle ausnutzen, um Schadcode einzuschleusen und auszuführen. Ein Opfer müsste er dafür lediglich auf eine manipulierte Website locken.

Unter Windows XP, Vista und 7 bewertet Microsoft die Anfälligkeit als “kritisch”. Das Risiko, das unter Windows Server 2003, 2008 und 2008 R2 von der Lücke ausgeht, stuft das Unternehmen hingegen nur als “moderat” ein. Nutzer von Internet Explorer 9 und 10 sind nicht betroffen.

“Wir haben nur wenige Angriffe auf das Loch in Internet Explorer 6, 7 und 8 beobachtet. Es besteht aber die Möglichkeit, dass künftig mehr Kunden betroffen sein könnten”, schreibt Tyson Storey, Program Manager des Internet Explorer, in einem Blogeintrag. Sein Kollege Dustin Childs, Manager von Microsofts Trustworthy Computing Group, rät Nutzern dringend, das Update so schnell wie möglich zu installieren.

Das Anfang des Jahres veröffentlichte Fix-it-Tool, das laut Sicherheitsforschern keinen vollständigen Schutz vor Angriffen auf die Schwachstelle bietet, müsse vor der Installation des Patches nicht entfernt werden, ergänzte Childs. Nutzer könnten es allerdings nach dem Einspielen des Updates löschen, da es dann nicht mehr benötigt werde.

Das Sicherheitsunternehmen Fire Eye entdeckte die Zero-Day-Lücke in der Woche nach Weihnachten bei der Untersuchung eines Cyberangriffs auf die Website des amerikanischen Think Tanks “Council on Foreign Relations”. Laut Sophos-Mitarbeiter Paul Ducklin verbreiten inzwischen mehrere Websites Malware, die die Zero-Day-Lücke mit einer geschickten Kombination aus HTML, JavaScript und Flash ausnutzen.

Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.