Patch Day Dezember 2005: Zwei Microsoft-Updates für fünf Lücken

MS05-054: Vier Lücken im Internet Explorer

Gleich vier Lücken behebt das kumulative Update für den Internet Explorer. Drei dieser Lücken stuft Microsoft als kritisch ein.

Ein Fehler bei der Anzeige des Download-Dialogs lässt sich ausnutzen, um den Anwender so zu verwirren, dass er bestimmte Tasten drückt. Im Prinzip läuft das Ganze so ab, dass der Angreifer den Download einer ausführbaren Datei skript-gesteuert anstößt, aber gleichzeitig die Anzeige des entsprechenden Dialogs verzögert - beispielsweise durch ein einfaches Schleifenkonstrukt im Skript. Dann muss der Angreifer nur noch dafür sorgen, dass der Benutzer den Tastatur-Shortcut für „Öffnen“ (im Deutschen IE „f“) drückt. Danach endet die Schleife und die Tastatureingabe wird verarbeitet, die Datei also ausgeführt.

In der Zusammenarbeit mit einem authentifizierenden HTTPS-Proxy kann es zur Preisgabe von Informationen kommen. Hier können Angreifer im lokalen Netz unter speziellen Umständen trotz SSL-verschlüsselter Kommunikation den Datenverkehr mitlesen.

Wie quasi bei jedem Update für den IE finden sich auch bei diesem weitere ActiveX-Objekte, deren Kill-Bit nicht gesetzt ist. Diese lassen sich fälschlicherweise im Internet Explorer instantiieren. Unter bestimmten Umständen kann das dazu führen, dass der Systemspeicher korrumpiert und in Folge dessen beliebiger Code ausgeführt wird.

Ein Angreifer muss das Opfer auf eine speziell präparierte Webseite locken, um die Lücke auszunutzen. Mit dem Update verhindert Microsoft, dass die COM-Objekte vom Internet Explorer angesprochen werden, indem es das so genannte Kill-Bit setzt.

Wird im „onLoad“-Event einer Web-Seite die JavaScript-Funktion „window()“ aufgerufen oder anders auf ein Window-Objekt zugegriffen, führt das zum Überschreiben von Systemspeicher. Im günstigsten Fall stürzt der IE ab im schlimmsten kann ein Angreifer beliebigen Code ausführen, wie beispielsweise der Trojaner Win32/Delf.DH demonstriert.