Erneut Sicherheitslücken im Internet Explorer

Im Internet Explorer 6 wurden erneut Sicherheitslücken gefunden, die es ermöglichen, die Sicherheits-Features des Windows XP Service Pack 2 bei heruntergeladenen Dateien zu umgehen.         
       
Das Service Pack 2 für Windows XP besitzt eine Sicherheitseinstellung die Anwender davor warnt, bestimmte Dateitypen auszuführen. Wird eine heruntergeladene Datei jedoch mit einem speziellen HTTP-Header "Content-Location" gesendet, wird die Sicherheitsmeldung unterdrückt. Es erscheint also kein Hinweis, auf die mögliche Gefährlichkeit der Dateien.   
   
Ein weiterer Fehler tritt auf, wenn Dokumente über die Javascript-Funktion "execCommand()" gesichert werden. Diese Lücke ermöglicht es, die Dateierweiterung über den Dialog "Save HTML Document" zu verschleiern (spoofen). Die Explorer-Option "Erweiterungen bei bekannten Dateitypen ausblenden" muss zum Ausnutzen dieser Lücke aktiviert sein (Voreinstellung).      
   
Eine Kombination der beiden Lücken kann über eine präparierte Website ausführbare Dateien, die als HTML-Dateien getarnt sind, auf lokale Systeme übertragen. Wenn Anwender selbige ausführen, kann ein Angreifer die vollständige Kontrolle über das System übernehmen.   
     
Einen Patch hat Microsoft bisher nicht veröffentlicht.   
   
Workaround: Die standardmäßige Einstellung des Explorers "Erweiterungen bei bekannten Dateitypen ausblenden" deaktivieren.

Außerdem empfiehlt es sich, Javascript im Internetexplorer komplett zu deaktivieren bzw. einen alternativen Web-Browser zu verwenden!


News-Quelle: www.tecchannel.de