I.E & Format

#1

Zitat

Eine besonders tückische Kombination von Sicherheitslücken im Internet Explorer ermöglicht es Webseiten, auf fremden Rechnern Programme mit Parametern aufzurufen -- mittlerweile existiert ein Exploit, das die Festplatte formatiert.

Das Problem besteht aus mehreren Sicherheitslücken, die alleine genommen nicht weiter kritisch sind, aber im Zusammenspiel gefährliche Angriffe ermöglichen. In einem Advsiory beschreibt Andreas Sandblad, wie die Sicherheitslücken ausgenutzt werden können, um beliebige Kommandos mit Parameterübergabe zu starten. Sandblads Exploit nutzt dabei ein cross-site-scripting-Loch in der Windowshilfe (*.chm) aus. Seine Demonstration öffnet eine Kommandozeile und übergibt dort eine Echo-Ausgabe. Mit wenig Aufwand lässt sich das Exploit aber mit weitaus zerstörerischeren Befehlen ("deltree", "format") füttern.

Laut Sandblad ist der Internet Explorer 6 mit aktuellen Patches anfällig für diese Lücke. In einem internen Testlauf stellten wir fest, dass das Exploit auf einem Windows XP mit IE 6.0 erst lauffähig war, nachdem wir alle aktuellen Sicherheitspatches von windowsupdate.com eingespielt hatten -- auf einem anderen System mit ungepatchten IE 6.0 funktionierte es auf Anhieb. Nach unseren Tests ist auch der Internet Explorer 5.5 von dem Problem betroffen.

Ob Ihr Internet Explorer anfällig für das veröffentlichte Exploit ist, können Sie mit unserem Browsercheck überprüfen. Doch auch wenn dieser Test nicht funktioniert, gibt es wahrscheinlich andere Möglichkeiten, dieses Sicherheitsproblem auszunutzen. Microsoft wurde bereits am 4. Oktober informiert, aber bislang gibt es noch keinen Patch. Abstellen lässt sich das Problem momentan nur durch das Abschalten von "Active Scripting". Eine Anleitung dazu finden Sie ebenfalls auf dem c't

http://heise.de/newsticker/data/pab-12.11.02-000/
__________
°<- Vorsicht Trollköder und Trollfalle -> {_}

#2 Quelle: heise online

Der neueste Patch für den Internet Explorer schließt laut Microsoft "alle bekannten sowie neu entdeckte Sicherheitslücken". Die Firma Greymagic, die kürzlich ganze 9 Sicherheitslücken auf einen Schlag publiziert hat, relativiert diese optimistische Einschätzung jedoch. Nach ihren Angaben sind drei der Lücken nicht behoben.

Zumindest funktioniert der kürzlich veröffentlichte Exploit, mit dem man beliebige Programme ausführen konnte, nach Installation des Patches nicht mehr. Ob das Problem jedoch tatsächlich beseitigt wurde, oder nur dieser spezielle Exploit quasi zufällig nicht mehr funktioniert, ist noch unklar. Denn Microsoft selbst erwähnt dieses eklatante Sicherheitsproblem mit keiner Silbe und stuft das Update lediglich als "wichtig", nicht aber als "kritisch" ein. Letzteres sollte man erwarten, wenn ein paar Zeilen JavaScript-Code auf einer Web-Site alle Daten eines Surfers löschen können.

Der Entdecker des Exploits, Andreas Sandblad, meinte gegenüber c't, dass er bisher noch keine konkrete Analyse vornehmen konnte, aber anscheinend eines der Sicherheitslöcher, das er ausgenutzt hat, gestopft wurde. Dieses ermöglicht es einem externen Skript, im Kontext des lokalen Rechners zu agieren. Gibt es ein weiteres, ähnliches Cross-Site-Scripting-Problem, das nicht gefixt ist, könnte man statt dessen dieses verwenden und hätte insgesamt wieder den gleichen Effekt wie beim ursprünglichen Exploit.

Laut Greymagic fallen zwei der drei nicht gepatchten Lücken in genau diese Kategorie. Sollten sie Recht behalten, ist damit zu rechnen, dass bald eine modifizierte Version des Exploits auftaucht. Für Entwarnung ist es jedenfalls zu früh. Wer auf Nummer sicher gehen will, sollte trotz des Patches Active Scripting deaktiviert lassen (näheres dazu auch in der Meldung Surfen mit IE kann Festplatte formatieren).

#3 Quelle: heise online - Sicherheitsrisiko Internet Explorer

Mit einem Klick auf die falsche Web-Seite kann ein Anwender seine Festplatte formatieren oder sogar Dateien auf firmeninternen Servern löschen. Das ist der vorläufige Höhepunkt in der langen Kette von Meldungen über Sicherheitslücken im Internet Explorer von Microsoft. Viele der Gefahren sind hausgemacht und treten bei anderen Browsern so nicht auf.

Anfang des Jahres gab Bill Gates den Startschuss zu seiner "Trustworthy-Computing-Kampagne", mit der Sicherheit bei Microsoft einen höheren Stellenwert bekommen sollte. Aber es hat sich nicht viel geändert, und das zuletzt entdeckte Sicherheitsloch war nur ein weiteres Indiz für die Risiken, die der Internet Explorer mit sich bringt. Um das aktuelle Loch zu stopfen, hat Microsoft zwar mittlerweile einen Patch zur Verfügung gestellt, doch auch der ist nicht wirklich wasserdicht. Zu anderen Sicherheitslöchern stehen Patches noch aus. Demonstrationen auf dem aktualisierten c't-Browsercheck führen vor, wie Web-Seiten bei Benutzern des Internet Explorer Cookies stehlen, Dateien auslesen und Programme starten können.

Oft wird der Grund für die Anfälligkeit des Internet Explorer allein in seiner großen Verbreitung gesehen. Damit sei er ein besonders lohnendes Ziel für Hacker. Das ist aber nur ein Teil der Wahrheit; der andere Teil liegt in der Integration in das Windows-System und im Gesamtkonzept des Browsers. So sind es immer wieder die Erweiterungen ActiveX und ActiveScripting, die es Angreifern ermöglichen, lokale Dateien zu lesen, zu verändern oder zu löschen.

Um dieser Gefahr auszuweichen, muss man selbst Hand anlegen. c't erläutert in der aktuellen Ausgabe 25/02 (ab Montag dem 2.12. im Handel), wie man durch verbesserte Sicherheitseinstellungen und Filter das Risiko senken kann. Außerdem stellt c't mit Opera 7 und Mozilla 1.2 aktuelle Browser-Alternativen vor und zeigt Perspektiven für den Umstieg. (ju/c't)

#4 Bei mir klappen alle Exploits... Skripte, Cookies stehlen, Proggies ausführen...

http://www.heise.de/ct/browsercheck/e5demo.shtml