Alte Lücke im Internet Explorer wird ausgenutzt

Seit rund zwei Jahren existiert im Internet Explorer 8 eine Sicherheitslücke, mit der sich die persönlichen Daten von Nutzern stehlen lassen. Durch das Laden von Cascading Style Sheets (CSS) lässt sich die Same Origin Policy umgehen.

Chris Evans, Mitglied des Google-Sicherheitsteams, hat diese Lücke jetzt demonstriert. Er veröffentlichte einen Exploit, der sich mit dem Mikroblogging-Dienst Twitter beschäftigt, aber auch leicht auf andere Websites übertragbar ist. Besucht man die spezielle Website zu Demonstrationszwecken und ist man gleichzeitig bei Twitter eingeloggt, so kann die Website Nachrichten im Namen des Nutzers bei Twitter veröffentlichen. Dazu klaut sie das Authentifizierungs-Token.


Die Sicherheitslücke ist bereits zwei Jahre alt und betraf ursprünglich alle Browser. Der auf Japanisch geschriebene Bericht fand allerdings kaum Beachtung, weshalb Evans vor einem Jahr in seinem Blog nochmals darauf hinwies. Nahezu alle Browser-Hersteller haben inzwischen reagiert und die Lücke beseitigt, nur der Internet Explorer ist noch verwundbar.

Microsoft hat bislang keine Stellungnahme zu dem Problem veröffentlicht. Einen wirksamen Schutz gibt es nicht, da die verwendeten Technologien essentiell sind und sich nicht deaktivieren lassen.