Microsoft bestätigt Lücke im IE, auch Office betroffen

Gestern berichteten wir über eine neue Sicherheitslücke im Internet Explorer von Microsoft, für die zum jetzigen Zeitpunkt noch kein Patch existiert. Die Sicherheitsexperten von Sunbelt berichten, dass sie auf russischen Porno-Seiten bereits ausgenutzt wird. Inzwischen hat Microsoft das Problem bestätigt und ein Security Advisory veröffentlicht. Darin versprechen die Redmonder, dass es spätestens am 10. Oktober einen Patch geben wird, der die Sicherheitslücke schließt. An diesem Tag findet der monatliche Patch-Day statt.

Der Fehler liegt in der Systemdatei vgx.dll. Da auch Microsofts zukünftige Office-Suite Office 2007 diese Datei für das neue Standard-Format "Office Open XML" benutzt, ist auch dieses Produkt betroffen. Mit Hilfe einer modifizierten Office-Datei, die der Anwender beispielsweise via E-Mail erhält, könnte die Lücke ausgenutzt werden und der Angreifer kann beliebigen Code auf dem Rechner ausführen.

Wer sich darüber im Klaren ist, wozu die Vector Markup Language verwendet wird, der kann die entsprechende DLL-Datei einfach deregistrieren. Dazu muss folgender Befehl ausgeführt werden. Anschließend ist man von der aktuellen Sicherheitslücke nicht mehr betroffen.

regsvr32 -u "%ProgramFiles%\CommonFiles\Microsoft Shared\VGX\vgx.dll"