Redmond - Microsoft hat einen kumulativen Patch für
den Internet Explorer veröffentlicht. Wie der Softwarekonzern in einem
Security-Bulletin mitteilt, schließt der 2 MB große Patch sechs neu
entdeckte Sicherheitslücken, von denen zumindest eine als kritisch
eingestuft wird, und behebt alle älteren bekannten Sicherheitsschwächen. Das
Update ist für die Internet Explorer Versionen 5.01, 5.5 und 6.0 zu haben.
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/
bulletin/MS02-023.asp
Die sechs neu entdeckten Sicherheitslücken werden von Microsoft in dem
Security-Bulletin beschrieben. Am gefährlichsten wird eine
"Cross-Scripting-Vulnerability" in einer lokalen Datei mit HTML-Code
eingeschätzt. Damit kann ein Angreifer HTML-Codes über eine Webseite oder
E-Mail einschleusen und mit Benutzerprivilegien zur Ausführung bringen. Eine
weitere Sicherheitslücke bei Cascading Stile Sheets erlaubt es Angreifern
mit HTML-E-Mail oder über eine Webseite Benutzerinformationen auszuspähen,
ohne allerdings die Daten auf der Festplatte des Users selbst verändern zu
können. Allerdings können damit nur Dateien gelesen werden, deren genaue
Position bekannt ist. Zusätzlich müssen diese ein bestimmtes ASCII-Zeichen
enthalten.
Daneben verhindert der Patch, dass Webseiten Coockie-Informationen von
anderen Webseiten auslesen. Eine weitere behobene Sicherheitslücke erlaubt
es, dass Internet-Seiten als Intranet-Zonen oder Trusted-Sites mit
entsprechend veränderten Sicherheits-Settings dargestellt werden.
Schließlich werden zwei Varianten der "Content Disposition"-Vulnerability
geschlossen, die dem IE mit falschen Informationen vortäuschen, dass die
heruntergeladenen Dateien sicher und sofort ausführbar sind.
Ergänzt wird der Patch durch eine Regeländerung für Microsoft Outlook
Express 6.0, Outlook 98 und Outlook 2000. Damit wird verhindert, dass diese
Anwendungen automatisch HTML-E-Mails oder Fenster zu eingeschränkten Sites
öffnen. So wird die Verbreitung von Schädlingen über HTML-Mails, die
selbstständig ein neues Fenster öffnen oder eine exe.-Datei herunterladen,
unterbunden. Der Patch steht unter
http://www.microsoft.com/windows/ie/downloads/critical/Q321232/default.asp
zur Verfügung.
