Zero-Day-Lücke bedroht Internet Explorer

Während der Microsoft-Sicherheitskonferenz BlueHat hat der Sicherheitsforscher Manuel Caballero eine Schwachstelle im Internet Explorer 6 demonstriert. Ein Exploit für diese Lücke könnte per Skript einen Cross-Domain-Zugriff nutzen, um Schadcode auf einer anderen Website auszuführen. Dazu müsste ein Anwender nur auf einen manipulierten Link klicken, der auf den ersten Blick zu einer vertrauenswürdigen Website wie Google führt.

Caballero nannte nur wenige Details: „Stellen Sie sich vor, ein unsichtbares Skript folgt Ihnen, während Sie surfen, selbst dann, wenn Sie die URL mehr als tausendmal gewechselt haben. Stellen Sie sich auch vor, dieses Skript kann alles sehen, was Sie machen, auch Eingaben wie Passwörter und Benutzernamen“, beschrieb Caballero die möglichen Auswirkungen eines erfolgreichen Angriffs.

Laut einer Sicherheitsmeldung von Secunia hat das chinesische Sicherheitsteam Ph4nt0m anhand dieser vagen Angaben ein Proof of Concept für die Sicherheitslücke entwickelt. Secunia empfiehlt Nutzern des Internet Explorer 6, auf die aktuelle Version 7 umzusteigen.

Jedoch ist auch der Internet Explorer 7 derzeit anfällig für Cross-Domain-Scripting, wie der Sicherheitsforscher Eduardo Vela mit einem eigenen Proof of Concept demonstrierte. Nach Ansicht von Nate McFeters, der für das Advanced Security Center von Ernst & Young arbeitet, beschränkt sich der Fehler nicht auf den Internet Explorer. „Das ist eine Schwachstelle, die alle Browser betrifft. Soweit ich weiß, ist sie noch in keinem Browser behoben. Die Hersteller haben Manuel Caballero deshalb gebeten, keine Details zu veröffentlichen“, schreibt McFeters in einem Blogeintrag.