Sicherheitslücke im Internet Explorer bestätigt

Microsoft hat gestern die am vergangenen Freitag bekannt gewordene Sicherheitslücke im Internet Explorer offiziell bestätigt. Die Sicherheitslücke ermöglicht es, den Browser zum Absturz zu bringen sowie fremden Programmcode auf dem Computer des Nutzers auszuführen.

Dazu lockt der Angreifer den Nutzer auf eine manipulierte Webseite, die den bösartigen Programmcode in Form eines JavaScript-Elements enthält. Im Informationsportal SecurityFocus wurde bereits Programmcode veröffentlicht, der zeigt, wie die Sicherheitslücke ausgenutzt werden kann. Allerdings sind Microsoft bislang noch keine Angriffe bekannt, die davon tatsächlich Gebrauch machen.

Die Schwachstelle tritt in den Versionen 6 und 7 des Browsers auf. Im Einzelnen sind nach Angaben des Unternehmens die folgenden Versionen betroffen: Internet Explorer 6 mit Service Pack 1 unter Windows 2000 mit Service Pack 4 Internet Explorer 6 und 7 unter Windows XP, Windows Server 2003, Windows Vista, und Windows Server 2008

Wie Microsoft in seinem Sicherheitsbericht bekannt gibt, ist dagegen der Internet Explorer 8 nicht betroffen.

Microsoft arbeitet nach eigenen Angaben an einem Sicherheitsaktualisierung (Update). Bis das Update zur Verfügung steht, sollten Sie als betroffener Nutzer entweder auf einen anderen Browser umsteigen oder die Sicherheitsstufe für die Internetzone und die lokale Intranetzone auf „hoch“ setzen.

Dadurch werden Sie jedes Mal aufgefordert, einer Ausführung von ActiveX-Steuerelementen und Active Scripting zuzustimmen, sodass kein JavaScript-Element ohne Ihre Einwilligung ausgeführt wird. Sie können Active Scripting auch komplett ausschalten. Allerdings werden dann manche Webseiten nicht korrekt angezeigt. Die genannten Einstellungen können Sie in den „Internetoptionen“ vornehmen.

Unter Windows Vista wird der Internet Explorer 7 automatisch in einem geschützten Modus ausgeführt. Dadurch werden die Angriffsmöglichkeiten stark reduziert. Sie können die Folgen eines Angriff auch durch die Aktivierung der Datenausführungsverhinderung DEP (Data Execution Prevention) im Internet Explorer 6 und 7 eindämmen. Eine kurze Anleitung dazu finden Sie im Sicherheitsbericht von Microsoft.

Auch die Programme Microsoft Outlook, Microsoft Outlook Express und Windows Mail enthalten die Sicherheitslücke. Allerdings werden HMTL-E-Mails dort mit eingeschränkten Rechten geöffnet, die ActiveX und Active Scripting verhindern. Beim Öffnen eines Links in einer E-Mail verlassen Sie allerdings diese abgesicherte Umgebung.