Sicherheitslücke im IE ermöglicht XSS-Angriffe

[Christoph]

Ein Sicherheitsunternehmen hat eine Schwachstelle im Internet Explorer veröffentlicht, da es Microsoft offenbar nicht für nötig hält sie mit einem Update zu beseitigen. Der Fehler erlaubt XSS-Angriffe auf Benutzer des Microsofts-Browsers.

So genannte XSS-Attacken (Cross-site Scripting) können es einem Angreifer ermöglichen, seine Opfer über die wahre Natur eines Web-Links oder einer Web-Seite zu täuschen. Sie können etwa für Phishing-Angriffe benutzt werden. Das Sicherheitsunternehmen Imperva hat einen Kodierungsfehler im Internet Explorer (IE) aufgedeckt, der solche Angriffe erlaubt.

Nach Angaben des Imperva-Forschers Rob Rachwald im Blog des Unternehmens wird der IE-Fehler bereits für derartige Angriffe ausgenutzt. Das Problem ist, dass der IE, anders als etwa Firefox oder Chrome, doppelte Anführungszeichen in URLs nicht in jedem Fall korrekt kodiert.

Gemäß RFC 3986, in dem die korrekte URL-Syntax festgelegt ist, sind Anführungszeichen als "%22" zu kodieren. Das macht der IE auch teilweise richtig, doch sind die doppelten Anführungszeichen Teil der Abfragezeichenkette, die mit einem Fragezeichen beginnt, unterlässt er es.

Imperva hat Microsoft über diesen Fehler informiert. Der Windows-Hersteller habe darauf geantwortet, der Fehler sei bekannt. Microsoft erwäge eine Veränderung dieses IE-Verhaltens für zukünftige Versionen, ein Sicherheits-Update für derzeitige IE-Versionen sei jedoch nicht vorgesehen.

Quelle: http://www.pc-magazin.de/news/sicher...32624,185.html