Vor einigen Tagen wurde eine Sicherheitslücke in der in Windows Vista integrierten E-Mails Software "Windows Mail" bekannt. Sie kann von einem Angreifer ausgenutzt werden, um ein Programm auszuführen. Microsoft hat das Problem bestätigt und nach eigenen Angaben bereits eine Untersuchung eingeleitet.

Windows Mail ist der Nachfolger von Outlook Express und stellt die Einsteigerlösung für den Empfang und Versand von E-Mail-Nachrichten und Windows Vista dar. Die jetzt entdeckte Schwachstelle erlaubt auch das Einschmuggeln von Dateien über das Internet, die dann auf dem Host-System ausgeführt werden könnten.

Um die Lücke auszunutzen muss nur ein Link auf eine Datei in einer E-Mail enthalten sein, der dann vom Anwender angeklickt wird. Zeigt dieser Link auf eine lokal abgespeicherte Datei, so wird diese ohne eine weitere Warnung oder ähnliches ausgeführt. Liegt die aufgerufene Datei auf einem Server im Internet, muss der Anwender ihrer Ausführung zustimmen.

Microsofts Security Response Center (MSRC), das für derartige Situationen zuständig ist, wies darauf hin, dass bisher keinerlei Fälle bekannt sind, in denen die Lücke ausgenutzt wird. Der Entdecker der Schwachstelle fiel jedoch vor einigen Wochen durch eine neue Internet-Seite auf, über die er Exploits zum Verkauf anbot, so dass sich dies in kürze ändern könnte.

Für eine erfolgreiche Ausnutzung der Schwachstelle müssen E-Mails im HTML-Format verwendet werden, da ein gefährlicher Link nur so getarnt werden kann. Microsoft will die Situation weiterhin beobachten und unter Umständen einen entsprechen Sicherheitshinweis veröffentlichen. Auch ein Patch ist geplant, falls sich die Bedrohungslage ändert.

Vielen Dank an Großer für den Hinweis!