14.01.2003, 23:54
Zitat:Surfen mit IE kann Festplatte formatieren
Eine besonders tueckische Kombination von Sicherheitsluecken im Internet Explorer ermoeglicht es Webseiten, auf fremden Rechnern Programme mit Parametern aufzurufen -- mittlerweile existiert ein Exploit, das die Festplatte formatiert.
Das Problem besteht aus mehreren Sicherheitsluecken, die alleine genommen nicht weiter kritisch sind, aber im Zusammenspiel gefaehrliche Angriffe ermoeglichen. In einem Advsiory beschreibt Andreas Sandblad, wie die Sicherheitsluecken ausgenutzt werden koennen, um beliebige Kommandos mit Parameteruebergabe zu starten. Sandblads Exploit nutzt dabei ein cross-site-scripting-Loch in der Windowshilfe (*.chm) aus. Seine Demonstration oeffnet eine Kommandozeile und uebergibt dort eine Echo-Ausgabe. Mit wenig Aufwand laesst sich das Exploit aber mit weitaus zerstoererischeren Befehlen ("deltree", "format") fuettern.
Laut Sandblad ist der Internet Explorer 6 mit aktuellen Patches anfaellig fuer diese Luecke. In einem internen Testlauf stellten wir fest, dass das Exploit auf einem Windows XP mit IE 6.0 erst lauffaehig war, nachdem wir alle aktuellen Sicherheitspatches von windowsupdate.com eingespielt hatten. Das belegt aber nicht, dass aeltere (ungepatchte) Versionen von Windows und Internet Explorer nicht anfaellig sind. Ob Ihr Internet Explorer anfaellig fuer dieses Problem ist, koennen Sie mit unserem Browsercheck <a href='http://safeurl.de/?http://www.heise.de/ct/browsercheck/demos.shtml' target='_blank'>http://www.heise.de/ct/browsercheck/demos.shtml</a> ueberpruefen. Microsoft wurde bereits am 4. Oktober informiert, aber bislang gibt es noch keinen Patch. Abstellen laesst sich das Problem momentan nur durch Deaktivierung von "Active Scripting".
