Fehler in inoffiziellem URL-Patch für IE7

Der Entwickler des Anfang der Woche erschienenen inoffiziellen Patches für eine URL-Sicherheitslücke in Microsofts Internet Explorer 7 hat einen schwerwiegenden Fehler in seinem Fix entdeckt. KJK::Hyperion spricht von einem „grauenhaften Speicherleck„.

Der Programmierer hat bereits eine überarbeitete Version des Patches veröffentlicht. Allerdings weist er erneut darauf hin, dass die Software bisher kaum getestet und keinerlei Qualitätskontrolle unterzogen worden sei. Daher sollte auch die zweite Fassung nicht auf Produktivsystemen installiert werden.

Der Fix behebt einen Fehler bei der Verarbeitung von URIs und URLs, der beim Update auf IE7 entsteht und die Ausführung von Schadcode ermöglicht. Betroffen sind die Windows-Versionen XP und Server 2003, nicht aber Vista. Die Schwachstelle wirkt sich auch auf andere Programme wie Outlook Express und Adobe Reader aus, die URIs und URLs an Windows weiterleiten. Angreifer können also auch über diese Applikationen Schadcode einschleusen.

Microsoft arbeitet nach eigenen Angaben bereits an einem offiziellen Patch. Wann er aber erscheinen wird, ist bislang noch unklar.