Aktuelle IE-Sicherheitslücken
Neu: Dateizugriff über MSScriptcontrol.ScriptControl
Über das ActiveX-Control MSScriptcontrol.ScriptControl und die Funktion GetObject ist es möglich, auf beliebige Dateien auf dem Rechner eines Surfers zuzugreifen und sie an einen Server zu übertragen. Dazu muss allerdings der Dateiname bekannt sein. Da viele Benutzer den von Programmen eingerichteten Standardpfad aber nicht ändern, dürfte sich beispielsweise unter "C:\\Eigene Dateien" diverses Material für neugierige Augen finden. Laut Guninski kann ein Angreifer mit dieser Methode auch Webseiten auslesen, zu denen der Ausgespähte Zugang hat - höchst interessant etwa bei Intranetseiten.
Die Lücke lässt sich offenbar nur unter Windows 2000 mit dem IE 5.5 ausnutzen: Von uns durchgeführte Tests unter Windows 98/SE und Me produzierten lediglich einen Laufzeitfehler.
Workaround
Deaktivieren Sie Active Scripting.
Datum: | 31. März 2001 |
|---|---|
| |
Betrifft: | IE 5.5 unter Windows 2000 |
Wirkung: | Zugriff auf lokale Dateien |
Patch: | Keiner |