Bugjäger Guninski bohrt altes Loch im IE 6 auf

Bugjäger Georgi Guninski hat eine Lücke im Internet Explorer 6.0 wiederentdeckt, die er bereits in vorangegangenen Versionen des Microsoft-Browsers nachgewiesen hat. Durch eine modifizierte URL kann ein Angreifer unter anderem Daten ausspähen.

Guninski hat nach eigenen Angaben die Lücke im IE 6 und im IE 5.5 unter Windows 2000 festgestellt. Verantwortlich sei ein Fehler in der Abarbeitung des JScript-Kommandos GetObject() in Verbindung mit dem ActiveX-Objekt HTMLFILE. Eine ähnliche Lücke hat Guninski bereits im September vergangenen Jahres gefunden und mit einer kurzen Demonstration versehen.

Über die jetzt entdeckte Lücke lässt sich eine URL konstruieren, über die lokal gespeicherte Dateien ausgelesen werden können. Statt den exakten Pfad anzugeben wie bei der ersten Demonstration der Lücke verwendet Guninski dieses Mal relative Pfadangaben, um eine Datei von der lokalen Festplatte zu öffnen. Der Dateiname muss zwar bekannt sein, dem Angreifer dürfte es allerdings leicht fallen, bekannte Windows-Dateien aufzurufen.

Der Bulgare will Microsoft vor drei Wochen über die Lücke informiert haben, bislang ohne Reaktion aus Redmond. Als Abhilfe empfiehlt Guninski flapsig, ActiveScripting im Internet Explorer ab- und niemals mehr anzuschalten und fügt hinzu: "Better, do not use IE in hostile environments such as the internet."

Weitere Informationen finden Sie im Report Aktuelle IE Sicherheitslücken. (uba)