General-Patch stopft alle Explorer-Lücken

Microsoft hat für den Internet Explorer 5.5 und 6 ein Patch-Paket geschnürt. Alle bisher bekannten Lücken sollen damit geschlossen werden, darunter auch drei neu entdeckte.

Eine der Sicherheitslücken, für die es erstmals einen Patch gibt, ist bereits vor drei Wochen entdeckt worden. Dabei können über die Download-Funktion des Explorer ausführbare Dateien als vergleichsweise harmlose Files wie Textdateien ausgegeben werden.

Der Benutzer bekommt das Fenster mit dem Download-Dialog gezeigt und wird gefragt, ob er die Datei öffnen oder speichern will. Wählt er "öffnen", wird eine hinter der gefälschten Download-URL steckende EXE-Datei ohne weitere Nachfrage ausgeführt. Laut Microsoft betrifft diese Lücke den Internet Explorer 5.5 und 6.

Ähnlich funktioniert auch die zweite neu beschriebe Lücke, die laut Microsoft aber nur den Internet Explorer 6 betrifft. Modifiziert ein Angreifer die HTML-Header-Informationen zu Content-Typ und URL auf Webpages, die nicht nur HTML-Inhalte anbieten, kann er dem IE 6 vorgaukeln, er würde sichere Dateien empfangen. Ohne weitere Nachfrage führt der Internet Explorer dann die Datei aus. Im eigentlichen Sinn ist diese Funktion dafür gedacht, dass etwa eine TXT-Datei mit Notepad geöffnet wird, wenn man sie anklickt.

Security-Bulletin MS01-58 und Patch

Empfehlung

Die dritte neu entdeckte Lücke ist eine Variante des "Frame Domain Verification"-Problems, das Microsoft bereits im März entdeckt und gepatcht hat.

Ein Angreifer kann dabei zwei Browser-Fenster öffnen lassen, eines in der Domain der Webseite, das andere beim Benutzer. Dadurch wird es möglich, alle Dateien auszuspähen, die sich im Browser darstellen lassen.

Microsoft empfiehlt allen Benutzern des IE 5.5 und 6, den General-Patch einzuspielen, schon weil mit zwei der drei neu entdeckten Lücken Code ausgeführt werden kann. Laut Microsoft werden außerdem alle bisher besprochenen Lücken des IE 5.5 und 6 geschlossen.