Internet Explorer: Microsoft-Browser von Zero-Day-Lücke betroffen

Anfällig für die Zero-Day-Lücke sind alle Versionen des Internet Explorers. Ausgenutzt wird die Schwachstelle aktuell unter den Version 9 bis 11 des Microsoft-Browsers. Mithilfe des Enhanced Mitigation Experience Toolkits (EMET) können sich Anwender laut Microsoft schützen.

Der Internet Explorer ist einer von Microsoft veröffentlichten Warnung zufolge von einer Sicherheitslücke betroffen. Anfällig für die von dem Sicherheitsunternehmen FireEye entdeckte Zero-Day-Lücke sind die Versionen 6 bis 11 des Browsers. Angriffe zielen laut FireEye derzeit nur auf die IE-Versionen 9 bis 11 ab. Das Sicherheitsleck ist zugleich die erste entdeckte Schwachstelle, die Microsoft unter Windows XP nicht mit einem Patch beseitigen wird.

Internet Explorer: Microsoft-Browser von Zero-Day-Lücke betroffen

Laut FireEys ist es aufgrund der Sicherheitslücke möglich, Objekte im Speicher zu manipulieren, nachdem sie freigegeben wurden. Der sich aktuell in Umlauf befindliche Exploit erlaubt es zudem, die Sicherheitsfunktionen Data Execution Prevention (DEP) und Adress Space Layout Randomization (ASLR) zu umgehen.

Um den Speicher zu manipulieren, verwendet das Exploit laut FireEye eine Adobe-Flash-Datei und das sogenannte Heap Feng Shui-Verfahren  (siehe PDF). Zwar weisen weder Microsoft noch FireEye darauf hin, aber Windows-PCs, auf denen der Adobe Flash Player nicht installiert ist, sind offenbar nicht von der Lücke betroffen, obwohl die eigentliche Schwachstelle im Microsoft-Browser steckt. Die Versionen 10 und 11 des Internet Explorers sind jedoch immer anfällig, da sie ein integriertes Flash-Plug-in enthalten.

Wie der Microsoft-Sprecher Dustin Childs in einem Blogbeitrag des Security Response Center schreibt, können Hacker die Lücke mithilfe einer präparierten Website ausnutzen. Dafür müssten sie Nutzer auf die Seite locken. Dies könnte mittels eines Links passieren, der in eine E-Mail oder eine Chat-Nachricht eingebettet ist.

“Wir beobachten die Bedrohungslage sehr genau und werden geeignete Maßnahmen ergreifen, um unsere Kunden zu schützen”, so Childs weiter. Das Enhanced Mitigation Experience Toolkit (EMET) schütze vor den möglichen Gefahren der Lücke. Gleiches gelte für den Enhanced Protected Mode von IE10 und IE11. Weiterhin empfiehlt Microsoft Active-X-Controls und Active Scripting zu blockieren, indem Anwender die Sicherheitsstufe des Internet Explorers auf „Hoch“ setzen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät Nutzern, bis zur Bereitstellung eines Sicherheitsupdates auf die Nutzung des Internet Explorers zu verzichten und bis dahin einen anderen Browser wie Google Chrome oder Mozialla Firefox zu verwenden. Entsprechende Einrichtungen aus den USA und Großbritannien (Computer Emergency Readiness Team (CERT)) warnen ebenfalls vor der Nutzung des Microsoft-Browsers und raten besonders Windows-XP-Anwendern zum Einsatz eines alternativen Webbrowsers.

Microsofts nächster Patchday findet am 13. Mai statt. Ob das Unternehmen bis dahin einen Fix bereitstellen wird, bleibt abzuwarten. Eine Mitte Februar ebenfalls von FireEye entdeckte Zero-Day-Lücke im Internet Explorer hatte Microsoft im März geschlossen.

[Mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Autor: Christian Schartel
Christian Schartel Christian Schartel Christian Schartel

Neueste Kommentare 

Eine Kommentar zu Internet Explorer: Microsoft-Browser von Zero-Day-Lücke betroffen

  • Am 30. April 2014 um 16:41 von Rolf Erhart

    Danke jetzt ist mir ein licht aufgegangen

Schreib einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *