Achtung: Sicherheitslücke im Internetexplorer

19.09.2006 15:57
Noch völlig unbekannt ist die Lücke im Internetexplorer bei Microsoft, aber von den Spitzbuben wird sie bereits weidlich ausgenutzt, wie Sunbelt berichtet.

Es handelt sich um einen Buffer-Overflow in der Verarbeitung von Vector Markup Language (VML), der es Angreifern ermöglicht, ein vollständig aktuelles Windows XP SP2 mit allen Patches zu übernehmen und beliebige Programme im Kontext des angemeldeten Nutzers auszuführen.
Dank der völlig verfehlten Sicherheitskonzeption von Windows, die den Anwender täglich dazu zwingt, seine Arbeit am PC mit Administrator-Rechten zu verrichten, dürfte der Angreifer in den meisten Fällen mit dieser Lücke völlige Kontrolle über das kompromittierte System erlangen.

Einzige Lösung, wenn man den MSIE bevorzugt: Java-Script deaktivieren. Solange, bis Microsoft einen Flicken dafür gestrickt hat.

Das sollte man unbedingt beherzigen, denn es wurden bereits Seiten im Internet gefunden, die diese Lücke ausnutzen, um dem Opfer einen Trojaner zu verpassen.

Weitere Infos: http://sunbeltblog.blogspot.com/2006/09/seen-i…loit-being.html

Inzwischen hat Microsoft den Fehler bestätigt, und empfiehlt als vorläufige Schutzmaßnahme die deaktivierung der betroffenen Bibliothek vdx.dll

Anleitung:
Start-->Ausführen. Eintippen:
regsvr32 -u "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"
OK klicken.

Weitere Infos direkt bei Microsoft:
http://www.microsoft.com/technet/securi…ory/925568.mspx

Nun gibt es einen Patch, jedoch keinen offiziellen. Das unabhängige "Zero Day Emergency Response Team" (http://isotf.org/zert/) ist weniger säumig als Microsoft, und hat einen vorläufigen Lückenschließer zum Download bereitgestellt. Microsofts Updatepolitik wird mittlerweile von Kriminellen ausgenutzt: Genau einen Tag nach jedem MS-Patchday werden Exploits für unbekannte Lücken auf die sich in Sicherheit wiegenden Anwender losgelassen. So haben sie immerhin vier ungestörte Wochen zur Verfügung, ihre Machenschaften voranzutreiben, genau solange, bis endlich der nächste Flick-Tag von Microsoft da ist. Abermals: Microsoft ist unfähig, rasch und adäquat auf Sicherheitsbedrohungen ihrer Kunden zu reagieren.

Wer den Patch des Zero Day Emergency Response Teams einspielen will, tut dies jedoch auf eigenes Risiko, denn Microsoft lehnt solche nichtautorisierten Flicken grundsätzlich ab. Der zur Verfügung stehende Patch funktioniert auf Win XP mit SP1 und SP2, Win 2000 SP4 sowie auf Server 2003 SP1.

Ich würde mal sagen, das ist schonmal besser wie nichts. Denn mit einem schieren Nichts steht man bis zum 10. Oktober da, wenn man auf die Schneckenpost von Microsoft wartet...

Hier gehts's zum Download: http://isotf.org/zert/download.htm