Windows 8: Zwei 0-Day-Lücken im IE10 entdeckt

Ein französisches Sicherheitsunternehmen hat eigenen Angaben zufolge im Microsoft-Browser Internet Explorer 10 auf dem neuesten Betriebs­system Windows 8 zwei Zero-Day-Lücken gefunden. Details wurden nicht genannt. Wie 'Neowin' unter Berufung auf einen Tweet von 'Vupen Security' berichtet, soll der Internet Explorer 10 zwei schwerwiegende Lücken haben, mit denen Angreifer die Kontrolle über einen Windows-8-Rechner übernehmen könnten.

Nach Angaben von Vupen wurde damit ein Microsoft-Surface-Pro-Rechner geknackt und zwar im Rahmen eines Hackerwettbewerbs namens Pwn2Own, der auf der CanSecWest-Konferenz in Vancouver veranstaltet worden ist. Vupen schreibt, dass man Windows 8 per "Sandbox-Bypass" vollständig kompromittieren konnte.

Es ist nicht das erste Mal, dass Vupen Security einen Zero-Day-Exploit gefunden haben will: Bereits Anfang November des vergangenen Jahres vermeldeten die Franzosen eine kritische IE10-Lücke, Details nannte Vupen damals nicht. Das hängt allerdings damit zusammen, dass das Sicherheitsunternehmen ein recht umstrittenes Geschäftsmodell hat.

Und zwar sucht Vupen in Produkten von großen IT-Unternehmen wie Microsoft, Apple und Google nach den diversen Sicherheitslücken, allerdings nicht, weil man so nett ist und die jeweilige Software sicher machen will. Vupen meldet Exploits nämlich nicht den Herstellern, sondern verkauft sie im Normalfall an Regierungen und andere Unternehmen.

Man argumentiert zwar, dass sich die Käufer dieser Informationen besser gegen die entsprechenden Lücken schützen sollen bzw. können, Kritiker meinen aber, dass die Exploits auch für Spionage oder das Einschleusen von Malware verwendet werden können. Ob das allerdings auch für die im Rahmen einer Hacker-Konferenz gilt, ist derzeit nicht bekannt.

Siehe auch: Windows 8 - Angeblicher Zero-Day-Exploit gefunden