Erste 0-Day-Lücke im Internet Explorer 9

Der Internet Explorer 9 ist kaum ein paar Wochen alt und schon tauchen erste Sicherheitslücken auf. Das französische Sicherheitsunternehmen VUPEN (vormals FrSIRT) hat zwei Schwachstellen in allen IE-Versionen von 6 bis 9 entdeckt, die sich in Kombination eignen, um an allen Schutzmechanismen vorbei Code einzuschleusen und auszuführen.

Die VUPEN-Forscher stufen ihren auf diesen Lücken basierenden Exploit als zuverlässig ein. Sie haben bislang kaum Informationen über die Natur der Lücken veröffentlicht oder darüber, wie sie ausgenutzt werden können. Lediglich VUPEN-Kunden aus dem Regierungssektor erhalten die Details, um ihre IT-Infrastruktur vor möglichen Angriffen zu schützen.

Der VUPEN-Chef Chaouki Bekra hat gegenüber der niederländischen IDG News-Site Webwereld angegeben, der Exploit für die erste Schwachstelle ermögliche es Code in der Sandbox des IE 9 auszuführen. Mit der Ausnutzung der zweiten Sicherheitslücke sei es gelungen aus der Sandbox auszubrechen und eingeschleusten Code auf dem System auszuführen. Auch auf Windows 7 mit installiertem Service Pack 1 und allen Updates funktioniere die Exploit-Kombination, vorbei an Schutzmechanismen wie DEP (Data Execution Prevention) und ASLR (Address Space Layout Randomization).

Die anfällige Komponente ist die Programmbibliothek mshtml.dll, ein Kernbestandteil aller IE-Versionen. Der Fehler tritt auf, wenn eine Web-Seite eine bestimmte Kombination aus HTML- und Javascript-Code enthält. Die von VUPEN entwickelte Angriffsmethode funktioniert zwar nur im IE 9, die ausgenutzte Schwachstelle soll jedoch auch in Internet Explorer 6, 7 und 8 stecken. Eine Stellungnahme von Microsoft steht noch aus. (PC Welt/mje)