Internet Explorer: Microsoft warnt vor Zero-Day-Exploit

[Christoph]

Das Sicherheitsunternehmen FireEye hat einen Zero-Day-Exploit gefunden, der alle Internet Explorer seit Version 6 betrifft und bereits angegriffen wird. Microsoft verspricht eine Überprüfung und Abhilfe.

Bild: http://www.heise.de/newsticker/meldu...ew=zoom;zoom=1

Microsoft hat eine kritische Sicherheitslücke in allen Internet-Explorer-Versionen seit 6 eingeräumt. Damit bestätigte der Konzern einen Bericht des Sicherheitsunernehmens FireEye, das auf den Zero-Day-Exploit aufmerksam gemacht und erklärte hatte, es gebe bereits Angriffe über diese Lücke auf die Internet-Explorer-Versionen 9 bis 11. Über die Schwachstelle könne Code ausgeführt werden ("Remote Code Execution"), wenn der Browser versuche, auf ein Objekt im Speicher zuzugreifen, dass da gar nicht liege. Angreifer könnten das über eine präparierte Website auslösen. Laut Fireeye benötigt der in den aktuellen Angriffen verwendete Exploit Flash, um ASLR auszutricksen. Ist Flash deaktiviert, funktioniert zumindest dieser Angriff nicht mehr.

In seiner Stellungnahme kündigt Microsoft an, die Lücke nun genau untersuchen zu wollen und dann "geeignete Maßnahmen" zu ergreifen. Das könne eine Behebung des Problems im monatlichen Sicherheitsupdate umfassen oder aber ein eigenes Update außer der Reihe, wenn das nötig sei. Um sich schon vorher zu schützen, rät Microsoft, unter "Extras/Internetoptionen" den erweiterten geschützten Modus zu aktivieren: Dazu muss man jeweils bei "64-Bit-Prozesse für erweiterten geschützten Modus aktivieren" und bei "Erweiterten geschützten Modus aktivieren" einen Haken setzen. Das sei allerdings nur im Internet Explorer 10 und 11 möglich. (mho)

Quelle: http://www.heise.de/newsticker/meldu...t-2177670.html

...
Wer noch Windows XP nutzt, muss jetzt aufpassen

Weitere Informationen finden sich im Security Advisory. Wer einen älteren Internet Explorer verwendet, kann auf den Protected Mode nicht zugreifen. Außerdem sind auch Browser betroffen, die unter Windows XP eingesetzt werden. Erst vor rund drei Wochen wurde der Support des Betriebssystems eingestellt. Das gilt auch für den Browser. Die gefährliche Sicherheitslücke wird also unter XP nicht mehr gepatcht. Es sei denn, der Anwender hat einen teuren Folgesupport-Vertrag. Damit wird die Nutzung des Browsers in Windows XP erstmals zu einem Sicherheitsproblem.

Quelle und ganzer Artikel: http://www.golem.de/news/zero-day-ex...04-106095.html

[Christoph]

Zero-Day-Lücke in Internet Explorer: Microsoft patcht außerplanmäßig - auch Windows XP

Eine schwere Lücke in Microsofts Webbrowser Internet Explorer von Version 6 bis 11 wird aktiv ausgenutzt: Microsoft sieht sich zu einen Patch außer der Reihe veranlasst. Auch das eigentlich nicht mehr unterstützte Windows XP wird berücksichtigt.
Offene Sicherheitslücken in aktuellen Webbrowser-Versionen sind kein Spaß – schon gar nicht, wenn Zero-Day-Exploits kursieren und die Lücke aktiv ausgenutzt wird. So warnte denn auch das BSI angesichts eines akuten Lecks im Internet Exlorer seit Version 6 vor der Nutzung von Microsofts Webbrowser, ebenso wie das US-CERT. Microsoft sieht sich angesichts dieser Situation veranlasst, einen schnellen Patch außer der normalen Update-Reihe herauszubringen, um das Leck zu schließen. Und das gilt ausnahmsweise auch für den Internet Explorer in Windows XP, obwohl der offizielle Support für das Betriebssystem seit einigen Tagen ausgelaufen ist und Sicherheitslücken bei XP damit normalerweise nicht mehr geschlossen werden.

Das von Microsoft selbst als "kritisch" eingestufte Patch (Security Bulletin MS14-021) wird seit dem Donnerstagabend über die Update-Funktion von Windows verteilt. Das Update steht aber auch für die einzelnen System- und Explorer-Versionen über das Security Bulletin bereit.

Adrienne Hall, Chefin von Microsofts Abteilung für Trustworthy Computing, meinte zu dem Vorgehen des Konzerns, als man erste Berichte über das Leck gesehen habe, sei die Devise gewesen: "fix it, fix it fast, and fix it for all our customers." Man habe sich dazu entschlossen, auch Windows XP zu berücksichtigen, da diese schwerwiegende Lücke erst kurz nach dem Termin für das XP-Supportende bekannt geworden sei. Insgesamt habe es nur sehr wenige Angriffe gegeben, die die Lücke ausgenutzt hätten; die Befürchtungen wegen des Lecks seien größtenteils übertrieben gewesen, meint Hall.

Das mögen Sicherheitsexperten anders sehen. Über die Schwachstelle kann Code ausgeführt werden ("Remote Code Execution"), wenn der Browser versucht, auf ein Objekt im Speicher zuzugreifen, das da gar nicht liege. Angreifer hatten das über präparierte Webseiten auslösen können, wie das Sicherheitsunternehmen FireEye berichtet hatte. Allerdings ist es dazu nötig, dass Adobes Flash Player auf dem Rechner des Opfers installiert ist. (jk)

Quelle: http://www.heise.de/newsticker/meldu...P-2181142.html