Internet Explorer 8: Kritische Lücke ist seit sieben Monaten offen

Eine Sicherheitsinitiative des Herstellers Hewlett-Packard hat Details zu einer Lücke im Internet Explorer 8 veröffentlicht. Diese habe man dem Redmonder Unternehmen bereits im Oktober 2013 mitgeteilt und da nun eine halbjährige Frist abgelaufen ist, wurde diese offengelegt. HPs Tipping Point Zero-Day Initiative (ZDI) hat auf ihrer Webseite eine kritische Anfälligkeit im Internet Explorer 8 offengelegt. Diese hat die ID-Nummer CVE-2014-1770 und erlaubt es Angreifern, über eine manipulierte Webseite einen so genannten "Drive-by-Download" durchzuführen, auch ein E-Mail-Anhang kann dafür missbraucht werden.

Microsoft hat die Lücke zwar im Februar dieses Jahres bestätigt, sie aber bisher nicht geschlossen. Laut Cnet kann oder will das Redmonder Unternehmen diese Zero-Day-Lücke nicht schließen. Microsoft gab allerdings an, dass man bisher keinen aktiven Exploit registriert habe.

"Wir erstellen und testen jeden Sicherheitsfix so schnell wie möglich. Einige Lösungen sind aber komplexer als andere und wir müssen sie im Hinblick auf eine riesige Anzahl an Programmen, Anwendungen und unterschiedlichen Konfigurationen testen", so Microsoft in einem Statement.

Sicherheits-Einstellungen anpassen

Einen Fix werde man aber dennoch nicht anbieten, Microsoft empfiehlt den Nutzern des IE8 (alle anderen Versionen sind nicht betroffen) die Internet-Sicherheitseinstellungen auf "hoch" zu setzen, da damit ActiveX Controls und Active Scripting geblockt werden. Eine weitere Möglichkeit ist die Installation des Enhanced Mitigation Experience Toolkit (EMET).

Diese Lücke hat übrigens nichts mit jener zu tun, die Microsoft kurz nach dem Support-Ende von Windows XP doch noch einmal gepatcht hat. Das war nach Angaben des Unternehmens eine einmalige Ausnahme. Denn obwohl der IE8 auch Windows 7 und Vista unterstützt, spielt er nur auf XP eine Rolle, da auf den XP-Nachfolgern neuere IE-Versionen angeboten werden.