Patch für Windows XP und IE 6

Microsoft muss den XML-Core Service nachbessern, der mit Windows XP, IE 6 und dem SQL-Server 2000 kommt. Über das XMLHTTP-ActiveX-Control lassen sich derzeit Dateien auf dem System ausspionieren.

Die fehlerhafte ActiveX-Komponente im XML-Service schert sich unter bestimmten Voraussetzungen nämlich wenig um die Sicherheitseinstellungen des Internet Explorers.

Sendet eine Webseite eine XML-HTTP-GET-Anfrage an das System, die sich auf eine lokale Datei bezieht, sollte der Zugriff je nach Einstellungen des Internet Explorers verweigert werden. Das geschieht zwar in der Regel, nicht aber, wenn die GET-Anfrage über eine Umleitung [Redirect] ankommt.

Microsoft bietet einen Patch an, der die als kritisch eingestufte Lücke schließen soll.

Bulletin MS02-008

Der Angriff

Um die Lücke zu nutzen und lokale Dateien auszulesen, muss ein Angreifer zwei Webseiten erstellen.

Die eine schickt ein XML HTTP GET an die andere, die so vorbereitet ist, dass sie die Anfrage auf das System des Benutzers umleitet.

Damit lassen sich Dateien herunterladen [GET], nicht aber verändern oder löschen. Der Angreifer muss jedoch den Pfad und Dateinamen kennen.