Zwei neue Sicherheitslücken im Internet Explorer

Auf der Mailing-Liste Full Disclosure sind zwei neue Sicherheitslücken für den Internet Explorer von Microsoft aufgetaucht. Sie wurden als kritisch eingestuft, da bereits ein Exploit-Code kursiert, der das Ausnutzen der Lücken ermöglicht.

Die erste Sicherheitslücke ermöglicht das Ausführen von beliebigem Code auf einem Windows-System. Dafür muss der Anwender lediglich auf eine Datei, die in eine Webseite integriert wurde, doppelt klicken. Obwohl der Anwender durch den Doppelklick sehr viel zur Ausnutzung beitragen muss, ist das Risiko sehr hoch, da diverse Sicherheitsexperten eine kreative Nutzung des Exploits erwarten. Laut dem Internet Storm Center muss das Active Scripting im Internet Explorer abgeschaltet werden, um sich zu schützen bis ein Patch von Microsoft zur Verfügung gestellt wird.

Bei dem zweiten Problem handelt es sich um eine Cross-Site Scripting Lücke die durch einen Fehler beim Umgang mit der Eigenschaft "object.documentElement.outerHTML" entsteht. Ein Angreifer könnte diese Lücke ausnutzen, um Informationen eines Anwenders zu stehlen, indem beliebiger Code in eine vertrauenswürde Webseite eingebunden wird. Einen Test, ob der Browser verwundbar ist, findet man hier.

Microsoft wurde über beide Lücken informiert und hat die Untersuchungen begonnen. Wann mit einem Patch gerechnet werden kann, steht noch nicht fest. Der Internet Explorer 7 ist durch seine neuen Sicherheitsfunktionen nicht betroffen.