1. Cookies optimieren die Bereitstellung unserer Dienste. Mit der Nutzung unserer Dienste erklärst Du dich damit einverstanden, dass wir Cookies verwenden. Weitere Informationen
    Information ausblenden
  2. Willkommen im Forum von DIGITAL FERNSEHEN - dem führenden Portal für digitales Fernsehen, Medien und Entertainment. Wenn du hier neu bist, schau dich ruhig etwas um und melde dich an, um am Forengeschehen teilnehmen zu können.
    Information ausblenden

Infektion durch Fehler im Internet Explorer trotz Service Pack 2

Dieses Thema im Forum "Computer & Co." wurde erstellt von lagpot, 19. August 2004.

  1. lagpot

    lagpot Gold Member

    Registriert seit:
    29. Dezember 2001
    Beiträge:
    1.128
    Ort:
    NRW
    Anzeige
    Infektion durch Fehler im Internet Explorer trotz Service Pack 2
    Der für seine Veröffentlichungen und Demos zu Schwachstellen im Internet Explorer bekannte Sicherheitsspezialist http-equiv hat auf seinen Seiten einen Proof-of-Concept-Exploit bereitgestellt, der eine weitere Sicherheitslücke der Drag & Drop-Funktion in Microsofts Browser veranschaulicht. Durch das manuelle Ziehen eines im Internet Explorer als Grafik dargestellten Objektes in ein bestimmtes Feld wird die ausführbare Datei malware.exe in den Autostart-Order kopiert -- ohne weitere Hinweis- oder Warndialoge. Bei einem Neustart des System wird diese Datei ausgeführt. Offenkundig ist es möglich, ein Objekt aus der Internet-Zone ohne weiteres in die lokale Zone zu transferieren. Über die Zonen verwaltet der Internet Explorer bestimmte Sicherheitseinstellungen für Gruppen von Websites, die als mehr oder weniger vertrauenswürdig eingestuft werden; die Internet-Zone wird dabei als wenig vertrauenswürdig angesehen.

    Die Demonstration funktioniert auch mit Service Pack 2, obwohl dort besondere Funktionen eigentlich solche Wechsel in die lokale Sicherheitszone (Zonenanhebung/Zone Elevation) verhindern sollen. Auch verfügt die abgelegte Datei über keine ZoneID, die sie als aus dem Internet geladen kennzeichnen würde. Zwar ist für einen erfolgreichen Angriff immer eine Benutzerinteraktion erforderlich, durch geschickt gemachte Webseiten, die beispielsweise ein Online-Spiel vortäuschen, dürfte aber eine Vielzahl von Anwendern darauf hereinfallen. Da kein Patch zur Verfügung steht, hilft als Workaround nur das Abschalten von ActiveScripting oder das Benutzen eines anderen Browsers.

    Auf den Seiten von heise Security steht im c't-Browsercheck eine Demo bereit, mit der Anwender überprüfen können, ob ihr Internet Explorer für die Drag&Drop-Schwachstelle verwundbar ist.



    mfg
    lagpot
     

Diese Seite empfehlen