Erneut Spoofing-Lücke im Internet Explorer

Andrew Hunter hat eine neue Spoofing-Lücke im Internet Explorer gefunden. Allerdings muss dazu die Startseite im Browser geändert werden. Mithilfe von kleinen Programmen ist dies aber kein Problem. Werbeprogramme beispielsweise machen das bereits jetzt. Er fand heraus, dass man als Startseite nicht nur einen gewöhnlichen Link einbauen kann, sondern auch JavaScript. heise.de zeigt dies an folgendem Beispiel:

javascript:document.write("<iframe src='https://www.heisec.de' width='100%' height='100%'></iframe>");

Schreibt man diese Codezeile als Startseite in den Internet Explorer, so wird die Seite heisec.de beim Starten des Browsers geladen, ohne das es im Programm angezeigt wird. Ein Patch von Microsoft liegt noch nicht vor.