Patchwork: Der IE hat es wieder dringend nötig

Microsoft muss erneut vier Sicherheitsproblemen des Internet Explorer (5.01 bis 6.0) mit einem Patch begegnen. Das Update ist als Sammel-Patch ausgelegt, enthält also (fast) alle bisher erschienenen Fixes für den Browser.

Im schlimmsten Fall kann ein Angreifer über einige der Lücken Code seiner Wahl ausführen. Wie immer ist das E-Mail-Programm Outlook, das den Internet Explorer als HTML-Renderer nutzt, ebenfalls betroffen. Das Spektrum der Probleme ist weit gestreut. Zum einen versäumt es der Internet Explorer, den Input von Webservern korrekt zu prüfen. Daraus resultiert ein möglicher Buffer Overflow in der zentralen URLMON.DLL, die für den Umgang mit URLs und sonstigen Informationen von Webservern zuständig ist. Zum anderen steckt ein Fehler im File Upload Control des Browsers. Einem Angreifer wäre es darüber möglich, eine Datei über den genauen Pfad/Dateinamen anzufordern und vom System des Benutzers auf den Webserver zu laden, schreibt Microsoft. Bei der von vielen Benutzern (und natürlich Windows selbst) nach dem gleichen Muster angelegten Dateistruktur kann das fatale Folgen haben, auch wenn Microsoft den Bug als moderat einstuft.

Die dritte neu entdeckte Lücke steckt im Umgang mit Dateien von Drittanbietern, die der IE quasi als Vermittler für Plug-ins empfängt. Bei der Übergabe der entsprechenden Dateien und der Vorbereitung für ihre Ausführung versäumt der Browser eine Prüfung der URL. Die in einer so präparierten URL enthaltenen Scripts werden im Benutzerkontext mit allen Rechten ausgeführt. Das vom Angreifer anvisierte Plug-in muss allerdings installiert sein, was in Anbetracht standardmäßig im Browser enthaltener Plug-ins wie dem Flash-Player von Macromedia trotz gegenteiliger Behauptung von Microsoft keine Hürde darstellt. Das Problem gilt prinzipiell für alle Plug-ins, weil der Internet Explorer bereits im Vorfeld für den Schlamassel verantwortlich ist. Einzige Beschränkung, das Plug-in muss nach der "EnableFullPage"-Methode vorgehen. Das heißt unter anderem, dass der Internet Explorer dafür ein neues Fenster öffnet. Microsoft setzt übrigens ein so genanntes Kill-Bit, um die verantwortliche ActiveX-Control (Plugin.ocx) auszuschalten. Ob damit nur Plug-ins nicht mehr funktionieren, die der Browser laut Microsoft nicht mehr unterstützt, sei dahingestellt.

Die vierte Lücke gilt Microsoft ebenfalls als kritisch. Über das Öffnen eines Dialogfensters, kann ein Angreifer Script ausführen und darüber Dateien auf der Festplatte des Benutzers auslesen. Erneut steckt der Fehler in der Rendering-Engine des Browsers. Wird das Dialogfenster erzeugt, kann durch spezielle Parameter Code eingeschleust werden. Für den Angriff sind dann nur noch Dateiname und Pfad zum Empfang der gewünschten Information nötig.

Das Flickwerk, das Microsoft durch die vielen Updates inzwischen anbietet, wird durch die Instruktionen zum Einspielen des Patches deutlich. Dass zuvor diverse Service Packs für die einzelnen IE-Versionen nötig sind, gehört schon zur (leidigen) Routine. Dass aber - trotz neuem Sammel-Patch - zuerst ein in einem früheren Sammel-Patch gefixtes Help Control installiert werden muss, um die HTML-Hilfe-Funktion des Browsers (showhelp) am Leben zu erhalten, ist dem Benutzer nicht mehr zu vermitteln. Den neuen Sammel-Patch nebst zugehörigem Bulletin (MS03-15) finden Sie hier. Wer auf die HTML-Hilfe nicht verzichten will, muss sich zuerst über diese Seite einen geeigneten Patch für das Help Control ziehen. (uba)

tecCHANNEL Buch-Shop

Literatur zum Thema Windows

Bestell-Link

Titel von Pearson Education

Bestellung