Microsoft veröffentlicht Notfall-Patch für Zero-Day-Lücke in IE8

Microsoft hat einen Fix für die kürzlich entdeckte Zero-Day-Lücke in Internet Explorer 8 bereitgestellt. Er beseitigt eine kritische Schwachstelle, die Angreifer zum Einschleusen und Ausführen von Schadcode ausnutzen können. Dazu müssen sie ihr Opfer lediglich dazu verleiten, eine entsprechend präparierte Website zu besuchen.

Die Sicherheitslücke wurde schon für Angriffe auf US-Forscher genutzt, die unter anderem an der Entwicklung von Atomwaffen beteiligt sind. Nach Angaben mehrerer Sicherheitsfirmen richteten sich die Attacken gegen Mitarbeiter des US Department of Labor und des US Department of Energy.

Invincea meldete vergangenen Freitag, die kompromittierte Seite verteile den Trojaner Poison Ivy per Drive-by-Download. FireEye hat bei einer Analyse des Schadprogramms festgestellt, dass es speziell auf Computer mit Windows XP ausgerichtet ist. Der Exploit lasse sich aber auch gegen Internet Explorer 8 unter Windows 7 einsetzen.

In einem am vergangenen Freitag veröffentlichten Security Advisory erklärte Microsoft, dass es die Berichte untersuche und über die Angriffe informiert sei. Es bezeichnete das Problem als „Anfälligkeit für Remote-Code-Ausführung“. Davon betroffen sind alle Windows-Versionen mit Internet Explorer 8, inklusive Windows Server 2003, 2008 und die R2-Versionen. Von Internet Explorer 6, 7, 9 und 10 geht in diesem Zusammenhang hingegen keine Gefahr aus.

Der außerplanmäßige Patch kommt in Form eines ausführbaren Fix-It-Tools, das das System ohne anschließenden Neustart aktualisiert. Microsoft empfiehlt jedoch zuvor die Installation des kumulativen Sicherheitsupdates für Internet Explorer vom 9. April (MS13-028).

„Kunden sollten den Fix aufspielen oder den in dem Advisory beschriebenen Workarounds folgen, um sich gegen die bekannten Angriffe zu schützen, während wir weiter an einem Sicherheitsupdate arbeiten“, teilte Dustin Childs vom Microsoft Security Response Center (MSRC) per E-Mail mit. Der nächste Patchday ist der 14. Mai.

[mit Material von Zack Whittaker, ZDNet.com]