Patch für kritische IE-Lücke - aber nicht von Microsoft

6. Oktober 2006, 12:26
3 Postings

Sicherheitsexperten bieten Fix für Browser-Problem - Gefährdung wird immer akuter: Webseiten geknackt und Exploit untergebracht

Für einige Aufregung sorgte in den letzten Tagen eine kritische Lücke im Internet Explorer. Kein Wunder kann doch ein Problem in der Verarbeitung der Vector Markup Language (VML) dazu benutzt werden, um sich allein durch das Ansurfen einer manipulierten Webpage Schadsoftware einzufangen.

Patch

Während ein Patch von Microsoft momentan noch aussteht, haben sich nun Dritte dieser Problematik angenommen: Die Sicherheitsexperten vom Zero Day Emergency Response Team (ZERT) haben eine inoffiziellen Patch bereitgestellt, der das Problem im Microsoft Browser beheben soll.

Hintergrund

Hinter dem ZERT stehen einige namhafte SicherheitsspezialistInnen wie etwa Halvar Flake von Sabre Security oder Joe Stewart von SecureWorks. Der jetzige Patch ist das erste Ergebnis dieser Zusammenarbeit, die man nach eigenen Angaben aufgrund des unzulänglichen Umgangs mit Sicherheitslücken von Seiten Microsofts ins Leben gerufen hat. Der monatliche Patch Day habe dazu geführt, dass AngreiferInnen ihre Exploits direkt nach diesem veröffentlichen würden, um so die kommenden vier Wochen ungestört agieren zu können.

Angriffe

Unterdessen wird die Gefährdung der Rechner von IE-BesitzerInnen durch die Lücke immer akuter: Laut Beobachtungen von Verisign hat die Zahl der der Angriffe in den letzten Tagen deutlich zugenommen. In einem Fall sei es AngreiferInnen gelungen, über eine bisher unbekannte Sicherheitslücke in der Hosting-Konfigurationssoftware cPanel die Server eines Web-Hosting-Anbieters - konkret von HostGator - zu knacken, und rund 500 Domains auf eine Webpage umzuleiten, die mithilfe der IE-Lücke Schadsoftware auf Windows-PCs installiert.

Abwarten

Bei Microsoft sieht man derzeit allerdings noch keinen Grund für Panik, die Angriffe seien nach den eigenen Informationen derzeit nur sehr begrenzt, zeigt man sich in einem Eintrag im Security Blog des Unternehmens überzeugt. Zur Zeit arbeite man aber an einem Patch zur Behebung des Problems, besteht die Notwendigkeit könnte eine Veröffentlichung noch vor dem nächsten Patch Day erfolgen. (red)

  • Bild nicht mehr verfügbar
Share if you care.