Microsoft: Pwn2Own-Lücke in Internet Explorer 9 schon geschlossen

Microsoft hat mitgeteilt, dass die in der vergangenen Woche bekannt gewordene Zero-Day-Lücke in Internet Explorer 8 nicht die neueste Version des hauseigenen Browsers betrifft. Das gilt für den aktuell verfügbaren Release Candidate sowie die für 14. März angekündigte Final des Internet Explorer 9.

Der irische Sicherheitsforscher Stephen Fewer hatte auf dem Hackerwettbewerb Pwn2Own drei Anfälligkeiten in IE8 miteinander verknüpft, um auf einem Laptop mit einer vollständig gepatchten Version von Windows 7 64-Bit Schadcode einzuschleusen und auszuführen. Dabei umging er auch drei Sicherheitsfunktionen (ASLR, DEP und geschützter Modus), die die Auswirkungen von Angriffen minimieren sollen.

Darüber hinaus bestätigte Microsoft, dass im Verlauf von Pwn2Own zwei weitere Löcher im Internet Explorer ausgenutzt wurden. Details dazu nannte das Unternehmen nicht, außer dass der IE9 auch von ihnen nicht betroffen sei.

Ein Patch für Internet Explorer 8 und ältere Versionen des Browsers ist nach Unternehmensangaben schon in Arbeit. Unklar bleibt, wann das Update zur Verfügung stehen wird. Der nächste geplante Patchday findet am 12. April statt. „Da der Internet Explorer 9 von den Anfälligkeiten nicht betroffen ist, ermutigt Microsoft seine Kunden, die Vorteile der Sicherheitsfunktionen des Browsers, der am 14. März veröffentlicht wird, zu nutzen“, heißt es in einer Stellungnahme des Softwarekonzerns.