Am Microsoft-internen Sicherheitsmeeting BlueHat v7 demonstrierte der Security-Researcher Manuel Cabellero Anfang Mai eine potentiell hochgefährliche Schwachstelle im Internet Explorer 6. Das Loch lässt sich für Angriffe per Cross-Domain-Scripting ausnutzen. Laut einer aktuellen
Meldung von Secunia wurde dies inzwischen von der chinesischen Security-Gruppe Ph4nt0m mit einem Proof-of-Concept bewiesen. Der Exploit war den Hackern möglich, obwohl Caballero wohlweislich keine genaueren Angaben über die exakte Natur der Schwachstelle veröffentlicht hatte.
Cabellero, der bei
Microsoft als Pentetration-Tester für Produkte wie den Browser, Silverlight und Web-Gadgets tätig ist, malte indes bereits in der Vorankündigung wahre Schreckensszenarien an die Wand: "Stellen Sie sich ein Script vor, das Ihnen beim Surfen stillschweigend folgt, auch wenn Sie 10'000 mal die URL wechseln und sich dabei absolut sicher fühlen. Stellen Sie sich weiter vor, dass dieser Geist alles sieht, was Sie tun und inklusive Passwörten alles aufzeichnet, was Sie eingeben. Es braucht dazu keinen Download, keine Bestätigung durch den User, kein ActiveX..."
Secunia empfiehlt den Umstieg auf IE7, der von der beschriebenen Lücke nicht betroffen ist. Das Grundproblem ist laut anderen Sicherheitsexperten aber nicht auf Version 6 von Microsofts Internet Explorer beschränkt. Laut einem eigenen Proof-of-Concept von Eduardo Vela schwächelt auch die neue IE-Version 7 punkto Cross-Domain-Scripting. Noch weiter geht Nate McFeters von Ernst&Young in einem Blog-Kommentar: "Es handelt sich um ein furchtbar ernstes Problem, das alle Browser betrifft und meines Wissens bisher bei keinem Browser behoben wurde."
(ubi)
