Vorläufiger Patch für aktuelle Internet Explorer Lücke

Das IT-Sicherheitsunternehmen eEye hat gestern einen vorläufigen Fix für die kürzlich aufgetretene Sicherheitslücke im Internet Explorer veröffentlicht. Der inoffizielle Patch blockiert den Zugriff auf die am stärksten betroffene Komponente des Browsers. Microsoft selbst bietet noch kein Sicherheits-Update an. eEye gibt an, dass der Patch nur als letztes Mittel eingesetzt werden sollte, speziell in Fällen in denen Active Scripting nicht abgeschaltet werden kann. Microsoft hatte als vorläufige Schutzmaßnahme die Deaktivierung der Active Scripting Funktionen empfohlen. Der Patch der Sicherheitsfirma soll das geplante Update von Microsoft nicht ersetzen, sondern einen vorläufigen Schutz bieten.

Zunächst wurde der Fix für die Kunden des Unternehmens entwickelt, gestern abend stellte man ihn jedoch auch der breiten Öffentlichkeit zur Verfügung. Seitens Microsoft wollte man die Zwischenlösung nicht empfehlen, da man keine Möglichkeit gehabt habe, sie vorab zu testen.

Die Lücke betrifft die Verarbeitung des Tags "createTextRange()" in Webseiten durch den Internet Explorer. Nachdem das Problem öffentlich bekannt gemacht wurde, ohne Microsoft vorab zu informieren, sind bereits einige hundert Webseiten aufgetaucht, die versuchen unter Ausnutzung des Fehlers Schad-Software auf dem Rechner eines Besuchers zu installieren.

Microsoft arbeitet nach eigenen Angaben bereits mit Hochdruck an der Beseitigung der Sicherheitslücke. Zu diesem Zweck hat man ein Update entwickelt, das am 11. April, dem nächsten Patch-Day, veröffentlicht werden soll. Auch eine vorherige Bereitstellung ist möglich, wenn die Verbreitung des Exploits weiter voranschreitet. Im Augenblick befindet sich das Ganze noch in der internen Testphase.

Weitere Informationen: Microsoft Security Advisory | eEye.com

Download: JScriptPatchSetup.exe (936 Kb; englisch)

Update: Inzwischen hat mit der Firma Determina ein weiteres IT-Sicherheitsunternehmen einen inoffiziellen Patch veröffentlicht.