RSS-Feeds: Keine Gefahr für Vista & Internet Explorer

In der vergangenen Woche fand in den USA die Black Hat 2006 statt, eine Konferenz auf der mehrere Tausend Hacker und Mitarbeiter von IT-Unternehmen über aktuelle Sicherheitsthemen debattieren. Unter anderem wurde dort demonstriert, wie RSS-Feeds zu einem Sicherheitsrisiko werden können. Microsoft war ebenfalls anwesend und hat nun mitgeteilt, dass die gezeigten Beispiele keines seiner Produkte betreffen. Konkret ging es um die Möglichkeit, Schad-Code über einen RSS-Reader zeitgleich an die zahlreichen Empfänger zu versenden, ohne dass diese davon etwas mitbekommen.

Im Blog des RSS-Teams von Microsoft heisst es nun, dass man bei der Entwicklung des Internet Explorer 7 und der Windows Vista RSS-Plattform darauf geachtet hat, die auf der Black Hat demonstrierten Angriffsmöglichkeiten von vornherein auszuschliessen.

Genauer gesagt, hat man die RSS-Plattform mit einem Überprüfungsprozess ausgestattet, bei dem Scripte aus im RSS-Feed enthaltenen HTML-Teilen herausgefiltert werden. Der "gereinigte" Feed bleibt weiterhin verfügbar und kann ohne Gefahr von anderen Applikationen, wie zum Beispiel dem Internet Explorer 7, aufgerufen werden.

Im Internet Explorer 7 selbst werden RSS-Feeds in einem beschränkten Betriebsmodus angezeigt. Dabei ist es unerheblich, woher der Feed stammt. Durch die Ausführung in der beschränkten Zone können keinerlei Scripte oder URL-Aktionen ausgeführt werden, wodurch ein Angriff vorerst ausgeschlossen werden kann.