Exploit für Lücke im Internet Explorer frei erhältlich

Internet Explorer Der Exploit-Code für eine bisher ungepatchte Sicherheitslücke im Internet Explorer ist in verschiedenen Maillinglisten aufgetaucht. Die Entwickler des Frameworks Metasploit haben den Code bereits in ihr Werkzeug aufgenommen. mehr...

Diese Nachricht vollständig anzeigen.

Jetzt einen Kommentar schreiben
 
@bluefisch200: ja nur VIELE deaktivieren uac ....und ohne uac ...kein geschützer modus ...also leute die sich mit dem ie was einfangen ...sskm. nutze den IE mittlerweile schon 9 jahre und hatte noch nie nen vorus oder weiß der geier was am system ...irgendwas mach ich falsch :(
 
@bluefisch200: Ich glaube, er meinte der DEP(P) vor dem PC ist per Default an :-)
 
@Erazor84: DEP = Data Execution Prevention und ist nicht die UAC = User Account Control ,-)
 
@Erazor84: Leute die UAC (nicht DEP) deaktivieren laufen zu 95% nicht mit einem Idoofexplorer durch die Gegend :P
 
@DasFragezeichen: Ist vermutlich auf der Webseite von Metasploit zu finden ;)
 
Ist mir schleierhaft, warum Microsoft den IE nicht "dicht" bekommt. Selbst in der Version 8 nicht. Dabei ist dieser Browser wirklich flott und die Darstellung ist aufgrund der verwendeten Standardschriftart wesentlich besser als beim Firefox. Aber wieso ist es so schwierig, den Browser sicherer zu machen? Das Zonen-Modell ist doch für den Großteil der Internetanwender viel zu kompliziert.
 
@1. Oktober: Warum versuchst du Sicherheitslöcher in Kontext mit Darstellung und Geschwindigkeit in Verbindung zu bringen? Ein Schuh kann auch drücken wenn er hübsch und aus edlem Leder ist, auch wenn ich damit nicht sagen will dass mir der IE gefallen würde. Ansonsten find ich den Hype um Sicherheitslöcher übertrieben, ein Browser ist eine komplexe Anwendung, und egal ob eine Lücke bekannt ist oder nicht, man sollte die Einstellungen und das System IMMER so sicher wie möglich betreiben, nicht nur dann wenn China Google hackt. Ansonsten auf deine Frage wieso es so schwierig ist einen Browser sicher zu machen: Ein Browser ist sehr komplex aufgebaut und braucht um eine eierlegende Wollmilchsau zu sein Plugins, Addons, Engines, Schnittstellen (Javascript, ActiveX) und vieles mehr, und all das ist ständig in Bewegung, der Quelltext wird immer mehr erweitert und verändert und da schleichen sich nunmal zwangsläufig auch Sicherheitslücken/Bugs ein.
 
@1. Oktober: Er ist grundsätzlich dicht, wenn man DEP und UAC (in der richtigen Stufe) benutzt. Absolut dicht ist keine Software, am wenigsten die "most used".
 
@lutschboy: Sehr gut beschrieben!
 
Mir ist Schleierhaft das manche Leute nicht kapieren das es keine Sicherheit für irgendetwas gibt. Egal ob IE, Firefox, Opera oder was ich sonst noch vergessen habe. Es gibt keine und es wird nie perfekte Proukte geben.
 
@Nico 77: Das doch bloß eine lahme Ausrede für diejenigen, die sich mitten in die Schusslinie begeben wollen, mit Internet Explorer und Windows im Internetz. Ist es eigentlich reiner Nervenkitzel, der die Leute dazu antreibt, derartige Dummheiten zu begehen? :-)
 
@Fusselbär: /&&&)&/&=.. es ist bewiesen dass ie sicherer ist also so mancher anderer fuchs...
 
mit DEP "soll" oder "ist" sicher? wäre schon interessant das genau zu wissen..
 
@LoD14: Mit DEP kann die CPU des angegriffenen Systems verhindern, dass ein Datenblock ausgeführt wird, was viele Sicherheitslöcher zumacht. Buffer overflows und so sachen können dadurch zum grössten Teil verhindert werden.
 
Weil bei Microsoft einige unfähige Leute arbeiten,die nicht in der lage sind,den IE8 sicher zu machen.
Warum hören die nicht einfach mal auf die User,warum gehen die verantwortlichen Mitarbeiter die für den IE8 zuständig sind,nicht einfach mal auf die kritiken der User ein,und machen den IE8 sicherer,etc.
Verstehe ich nicht.
Kein wunder,das der Firefox die allerbeste alternative ist,aber das interessiert Microsoft nicht.
 
@Fat Tony:
Seltsam, bei Firefox, Google und Opera arbeiten anscheinend auch nur unfähige Deppen, deren Browser haben nämlich auch ständig irgendwelche Sicherheitslücken:)
 
@Fat Tony: FF ist der latente IE-Nachahmer und damit sogar weniger als eine schlechte Alternative. Als eben solche kann man aber Chrome bezeichnen. MfG
 
@Fat Tony: Zeit mal den Blickwinkel gerade zu rücken: Windows ist per default auf den Kisten vom Kistenschieber installiert. Anfänger benutzen Windows. Viele Firmen benutzen Windows. Oft wird Windows und die installierten Anwendungen schlecht gewartet, sowohl in Firmen als auch bei Heimanwendern werden nur teilweise Sicherheitsflicken für alles installierte eingespielt (Anfängersystem eben). Der Internet Explorer ist auf Windows schon drauf und wird daher besonders gerne von den Anfängern genutzt. Rate mal, worauf sich Angreifer besonders eingeschossen haben? Warum willst Du dann ausgerechnet mitten im Kreuzfeuer im Internetz stehen? Muss ich nicht verstehen.
 
@Fusselbär: Gerade weil MS-Produkte so verbreitet sind werden sie genauer geprüft von anderen und es werden vermehrt Schwachstellen gesucht. Windows ab NT 6.0 kann man ziemlich sicher betreiben. Ich möchte nicht wissen, wieviele Schlupflöcher die Chinesen z.B. im Webkit schon gefunden haben und ausnutzen, ohne entdeckt zu werden, weil es nur sehr wenige und gezielte Angriffe gibt.
 
@tiadimundo: Wenn Du auf das Placebo UAC anspielst, das hält Windowsvirchen auch kaum auf: http://www.sophos.com/blogs/chetw/g/2009/11/03/windows-7-vulnerable
 
@dediee: Sicherheitslücken sind nicht das Problem, sondern öffentlich verfügbare Exploits sind das Problem. Und ich muss ehrlich gesagt sagen, ich wüsste jetzt gar nicht wann es das das letztemal für den Firefox gab. Wichtig ist ja nur das dem User nix passiert, daher kann ein Browser 100 Sicherheitslücken haben, wenn die aber vor dem entdecken und ausnützen einer Lücke gestopft werden ist das ja kein Problem, leider reagiert hier MS und auch andere große kommerzielle Anbieter immer sehr träge.
 
@Fusselbär: UAC ist primär auch keine Sicherheitsfunktion sondern eine Rechteverwaltung. UAC kann zwar die Sicherheit erhöhen, schützt aber nicht aktiv. Das wurde ständig von MS vorgekaut. Ich meine z.B. solche Funktionen wie die zufällige Adressverwaltung, die Sandbox für den IE, die bessere Firewall oder überhaupt dass Vista das erste BS von Microsoft war, das komplett nach den strengen Vorgaben des "Security Development Lifecycle" entwickelt wurde. So etwas gibt es bei keinen anderen großen Softwareentwicklern. In der englischen Wikipedia sind sämtliche neue Sicherheitsfunktionen ordentlich aufgeführt: http://tinyurl.com/ue53k
 
@tiadimundo: Die Address Space Layout Randomization hat Microsoft von OpenBSD und Linux (PAX) kopiert. Da gibt es das nämlich schon länger. Also wie immer, bloß ein alter Huth, was Redmond da als "neu" verkaufen will.
 
@Fusselbär: Oh, ok...und nun?
 
@Fusselbär: vieren werden durch nichts wirklich aufgehalten aber die uac verhindert es wenigstens dass nicht jeder schädliche code als admin ausgeführt wird...
 
@[U]nixchecker: es ist auch nachgewiesen, dass MSFT ihre lücken am schnellsten schließt.
 
<Schon das Betrachten einer manipulierten Website reicht aus, um Schadcode auszuführen, teilte das BSI mit>

Schön, um mir was einzufangen muß ich erst mal auf eine manipulierte Webseite gelangen, wie macht das ONU googelt der danach?
Und was macht ein aktueller Virenscanner wenn versucht wird Schadcode auf einem Rechner auszuführen, da schreibt das schreibt der BSI leider nix drüber.
 
@dediee: Du bist doch auch hier auf Winfuture.de gelandet. Ahnst wahrscheinlich nicht mal im geringsten, wie viele Server Dir da gleichzeitig noch was unterschieben, zusätzlich zu dem Winfuture Webserver. Virenscanner sind erstmal per se untauglich, um noch unbekannte Schadsoftware zu erkennen. Es bleibt hinreichend Zeit den nichtsahnenden Usern auf Windows Kisten was unterzuschieben, wenn User sich alleine auf Virenscanner, oder gemeinhin die übliche Placebo "Schutzsoftware" verlassen, die da in so allerlei Farben, ob rot oder gelb, oder sonstwas angeboten wird. Gleiches gilt auch für Webseiten wie Spiegel.de, Bild.de & Consorten.
 
@Fusselbär:
Och, weißt du ich ahne nicht, ich weiß das es Server gibt die durchaus in der lage sind einem unbedarften User (wie z.B. den Trotteln bei Google die auf einen Link in einer mail klicken) etwas unter zu schieben.

Ich weiß auch das es User bei Winfuture (wie z.B. dich gibt), die keine Gelegenheit auslassen gegen MS zu trollen.

Zum Thema absolutes verlassen auf Virenscanner und co gebe ich dir Recht, das Ding zwischen den Ohren sollte man schon benutzen aber auch dann wenn man kein Windows als BS einsetzt.
Wer sich nämlich darauf verlässt das Nicht-Windows-Systeme 100% sicher sind, wird sehr schnell feststellen dürfen das das leider nicht so ist(auch wenn so mancher Troll MS einzigstes unsicheres Übel darstellen tut).
 
@dediee: Wenn die Virenhersteller genauso schnell sind sind wie MS oder Adobe:-) Ubrigends woran erkennt man eine manipulierte Seite, klar am roten Ausrufezeichen "! ACHTUNG ICH BIN MANIPULIERT !" Gerade weil bei vielen Seiten Werbung von irgendwelchen Anbietern reingezogen wird, kann das jeden treffen.
 
@dediee:
Das BSI könnte ja einfach vor manipulierte Seiten ein Achtung-Schild (äquivalent zum Stopschild) stellen. Das würde das ganze Problem doch lösen. :-)
 
Wo ist dann das Problem? DEP ist für den IE in der Standardeinstellung eh an.
 
Endlich haben die Virenscanner was zu tun mal sehen ob sie ihr Geld wert sind.
 
OpenSource vs. Closed Source. Wieder einmal hat OpenSource (Exploit) gegen Closed Source (Internet Explorer) gewonnen.
 
@Fusselbär: Simply pathetic!!! Manchmal frage ich mich echt was solche Leute mit dieser Art Einstellung so (mit sich selbst) in Ihrem Keller treiben? Open source vs Closed Source 1:0 Yippie....löst Du jetzt Deinen Oddset Tippschein ein und kippst Dir einen hinter die Binde zur Feier des Tages......Was ne Kinderka..e ist den das? Wir sind hier doch nicht bei den American Gladiators oder beim Fussball. Kriegst aber ein (+) von mir zur Feier des Tages. Grüße
 
@Lostinhell78: Natürlich sind wir hier nicht bei American Gladiators oder beim Fußball. Aber natürlich sind wir alle Teilnehmer an einem beliebten MMORPG, Du hast Dir ja auch einen Char erstellt und nimmst am Spiel teil. :-)
 
@Lostinhell78: ich wette mit dir dass er gekommen ist wie er die news gelesen hat.
 
Firefox FTW!
 
@r0cky: Firefox ist kein schlechter Browser, aber wenn sich alle ausschließlich auf den Firefox stürzten, ist das auch keine Lösung. Bezüglich Software gilt: Vielfalt anstatt Monokultur bietet mehr Chancen, nicht in der Schusslinie von Angreifern zu stehen. Es lohnt sich also, nach Alternativen außerhalb der ausgetreten Pfade zu schauen.
 
DEP gibt es erst seit XP mit SP2, alles darunter hat kein DEP. Ausserdem wird auch ein Prozessor mit NX-Bit benötigt. Und da vor allem in Unternehmen noch viel alter Schrott rumsteht, kann diese Lücke durchaus viel Schaden anrichten.
 
@tekstep:
Die kann vielleicht, wird aber wohl eher nur soviel anrichten wie die vorherigen Lücken, nämlich so gut wie nix:)
 
@dediee: Du meinst also, das es für das englische, französische, deutsche und amerikanische Militär völlig harmlos war, das ihre Windows-Kisten im Jahr 2009 verseucht waren? Und das Firmen und Krankenhäuser denen wegen Viren und Würmern die Windows-Kisten-IT ausgefallen ist, dies auch als "so gut wie nix" bezeichnen wollen würden, auch wenn es viel Geld gekostet hat?
 
@Fusselbär:
Womit wurden die nochmal schnell verseucht, durch ein Exploit, oder wohl doch eher durch eine Schadsoftware?
Wie lange gab es bezüglich dieser Schadsoftware schon einen Patch und jeder halbwegs aktuelle Virenscanner erkannte diese Schadsoftware, trotzdem wurden die von dir angeführten Rechner damit infiziert?

Fassen wir mal zusammen:
es handelte sich beim Conficker nicht um eine Browserlücke sondern um eine eigenständige Schadsoftware.
Es gab seinen Patch und jeder halbwegs aktuelle Virenscanner erkannte den Conficker.
Wer hat da jetzt Schuld an der verbreitung des Conficker, MS oder die Deppen die sich nicht um Aktuallität ihres Systems bemühen.
Bevor Tatsachenverdreher Fusselpulli wieder mit MS anfängt, sollte er erst mal über die ständigen updates der einzelnen Linuxdistris nachdenken die auch so ganz nebenbei ein paar Sicherheitslücken stopfen, oder meint Fusselpulli im ernst das das alles leistungsoptimierungen sind die da ständig auf den Linuxkisten eintrudeln.

Übrigens mal so ganz nebenbei bemerkt benötigt dieses Exploit immer noch eine Schadsoftware um einen Rechner infizieren zu können, das Exploit ist ledigdlich der Dietrich der durch den Browser eventuell den Zutritt zum System öffnen kann.

EDIT:Typo
 
@dediee: Wenn ich solche Albernheiten und schlecht gemachte persönliche Beleidigungen lesen muss, dann hilft bei "dediee" wohl auch die Erläuterung des Begriffs "Lücken" nichts mehr.
 
@Fusselbär: Hart dass du die Wahrheit nicht akzeptieren willst und ihn anders angreifen musst...
 
@dediee: Danke für diese schöne Darstellung der Tatsachen bezüglichen Conficker. Allerdings kannst Du nicht erwarten, das ein Windowsbasher wie der Fusseltrinker...äh Fusselbär diese Wahrheiten akzeptieren oder gar einsehen, dass der Fehler meist vor dem Bildschirm sitzt. Wahrscheinlich wird da Zuhause gerade ne Mordssause abgehen da a Open Source einen Sieg gegen Closed Source errungen hat (es ist ein hart umkäpftes Match). Immerhin zaubern diese Art der einseitgen Sichtweisen ein Schmunzeln auf mein Gesicht. Allein deshalb lohnt sich ein Besuch auf WF immer wieder. Lustig diese Art der Zurschaustellung einer derartigen Borniertheit. Grüße und ein (+) von mir. Natürlich auch eins für den Bären (+)
 
MS sollte zumindest einen Patch bereitstellen indem die schlecht konzipierte Render-Engine der Embedded OpenType Fonts deaktiviert werden kann. Noch wurde dieses Microsoft-Format ja von dem W3-Konsortium nicht zum Standard gemacht. Sonst hätten ja auch die anderen Browser die selbe "Sicherheitslücke". Ich bezweifle nämlich, dass viele Seiten schon solche Fonts einsetzen. Schade nur, dass immernoch der Eindruck gemacht wird, der IE sei hier schlecht programmiert worden. Das Sicherheitsproblem wird sich wohl nur lösen lassen, indem die in Webseiten eingebetteten Schriftarten nur noch mit gültigem Zertifikat vom Browser geladen werden. Aber grundsätzlich kann eben jeder Code bösartig sein und das automatisch zu erkennen ist eigentlich unmöglich.
 
Bei so einer ernsten Lücke müsste eigentlich heute noch ein Update zur Verfügung stehen, alles andere ist indiskutabel. Angeschissen und ohne Rechte ist leider immer der User.
 
@[U]nixchecker: Wurde die Frage der Mitstörerhaftung bereits geklärt? Ist der Internet Explorer in Deutschland ein "Hackertool"? Heute schon gelacht? ==> Symantec auch unter den Opfern !1drölf
 
@[U]nixchecker: Sie haben das gemacht, was ein grosser Dienstleister machen kann: Einen nicht offiziell unterstützten Lösungsweg veröffentlicht. Einen unausgegorenen Patch, der in vielleicht 1% aller Installationen zum Absturz des betreffenden Systems führt, das wäre direkt tödlich für Microsoft. Sowas wäre aber auch für Linux oder Apple tödlich, denn die Kunden würden versuchen auf etwas anderes umzusteigen. Rate mal, wieso es einen "testing" branch vom Linux-Kernel gibt.
 
@[U]nixchecker: sag das mal deinen linux schw.... dort dauert es oft monate bis ein patch fertig ist
 
Ab VISTA kann man DEP so ausschalten: Unter Auführen nur folgendes eingeben: bcdedit.exe /set {current} nx AlwaysOff ____- Einschalten: bcdedit.exe /set {current} nx AlwaysOn ______ Oder Systemsteuerung>System>Erweiterte Systemeinstelung>Register Erweitert>Leistung (auf Einstellung)>Register Datenausführungsverhinderung>Datenausführung für alle Programme (...) enschalten: aktivieren, dabei keine Programme in die Liste aufnehmen. Es sollte so aussehen: http://img62.imageshack.us/img62/4269/dep.png __- Nun, nur noch neu Starten.
 
Habe alles so weit wie möglich hochgestellt. DEP ist auch aktiviert. Geht ganz einfach in Internetoptionen/Erweitert/Speicherschutz aktivieren. Trotz der hohen Sicherheitseinstellungen erreiche ich das, was ich haben will. Alles sollte nicht auf hoch gestellt werden. Wenn das gemacht wird, dann kommt man z.B. nicht mehr in winfuture rein. Die Einstellungen ausprobieren.
Kommentar abgeben Netiquette beachten!

WinFuture Mobil

WinFuture.mbo QR-Code Auch Unterwegs bestens informiert!
Nachrichten und Kommentare auf
dem Smartphone lesen.

Folgt uns auf Twitter

WinFuture bei Twitter

Interessante Artikel & Testberichte

WinFuture wird gehostet von Artfiles