WebStyleBoard

Wer hätte das gedacht... IE+OjE haben Sicherheitslücken!!!1

[z]Neue und alte Sicherheitslücken beunruhigen Windows-Nutzer

Der Internet Explorer 6.0 unter Windows 2000 erlaubt einmal mehr das Einschleusen und Ausführen von beliebigem Code. Eine präparierte HTML-Seite öffnet Frames mit Aufrufen, um lokale Dateien zu öffnen oder zu starten. So weit kein Problem, da zu jedem Aufruf explizit die Bestätigung des Benutzers erforderlich ist. Problematisch wird es, wenn mehr als 200 Frames mit solchen Aufrufen geöffnet werden. Dies flutet die Tabelle, in der die Sicherheitszonen verwaltet werden. Der Internet Explorer unterscheidet dann nicht mehr zwischen "Internet" und "lokalem Intranet", sondern führt weitere Aufrufe ohne Bestätigung des Benutzers aus. Ein Angreifer könnte in den Aufrufen nun Download und Installation eines Trojaners verstecken. Erste Demo-Exploits hierzu kursieren schon im Internet. Ein Patch ist noch nicht verfügbar.

Die Kaspersky-Labs warnen vor dem neuen Trojaner StartPage, der sich als Mass-Mailer bemerkbar macht. Nach Angaben der Virenforscher wurde in Russland Anfang der Woche eine Spam-Flut durch den Schädling verursacht. StartPage macht sich eine alte Schwachstelle im Internet Explorer 5.0 zunutze. Durch die falsche Behandlung von IFRAMES können beliebige Programme ausgeführt werden. Benutzer des IE 5.0, die aufgrund der eingangs beschriebenen Schwachstelle nun nicht mehr auf IE 6.0 upgraden wollen, können Version 5.5 mit allen erforderlichen Patches einsetzen.

Totgesagte leben länger. Auch Outlook Express 6.0 bleibt nicht verschont, auf Securityfocus wurde ein Bug in der Behandlung von HTML-Mails veröffentlicht.Offenbar handelt es sich um eine alte Schwachstelle im WebBrowser Control und dem Media Player 7.01/8.0, die nie korrigiert wurde. In HTML-Mails eingebettete Aufrufe zu anderen Media-Dateien vom Typ Audio/ASF können verwendet werden, um unbemerkt Dateien auf dem System zu installieren und auszuführen. Ein Patch existiert nicht, eine Schutzmöglichkeit besteht aber darin, sich E-Mails als "Nur Text" anzeigen zu lassen. Unter Extras/Optionen/Lesen muss dazu im Feld "Nachricht lesen" die Option "Alle Nachrichten als Nur-Text lesen" aktiviert sein. (dab/c't)[/z]
http://heise.de/newsticker/data/dab-22.05.03-000/

Mirko

Zitat

Original von TheNobody Style
wer sagt denn, dass der Moz nicht ebenfalls nenn paar nette Löcher hat?

Der Gedanke ist gut. Selbstverständlich besteht beim Mozilla-Mail-Client auch die Gefahr von Sicherheitslücken, allerdings gibt es einen entscheidenden Unterschied:

Ganz viele Microsoft-Produkte, bei denen sowas auftritt beruhen auf dem gleichen Kern, dem des IE. Sowohl der Webbrowser, als auch der Mail-Client ALS AUCH der Dateibrowser!!! Microsoft würde sagen: "that's not a bug -- it's a feature" aber durch diese tiefe Integration in Betriebsystemeingeweide sind Sicherheitsbarrieren per Definition schwerer zu vermeiden/auszubessern, als bei einer Engine, die mit dem Dateibrowser (fast) nichts zu tun hat.

Mirko