BSI warnt – Kritische Zero-Day-Schwachstelle im Internet Explorer Thema

[NeHe]

Kritische Zero-Day-Schwachstelle im Internet Explorer
Kritische Schwachstelle in Internet Explorer 7, 8 und 9
Remote-Codeausführung möglich

Bonn, 17.09.2012.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist Internetnutzer auf eine bisher unbekannte, kritische Schwachstelle im Browser Microsoft Internet Explorer hin. Betroffen sind IT-Systeme, die den Internet Explorer in den Versionen 7 oder 8 unter dem Betriebssystem Microsoft Windows XP, sowie in den Versionen 8 und 9 unter Microsoft Windows 7 verwenden. Die Schwachstelle wird bereits in gezielten Angriffen ausgenutzt. Zudem ist der Angriffscode auch frei im Internet verfügbar, sodass mit einer breitflächigen Ausnutzung rasch zu rechnen ist. Um die Schwachstelle auszunutzen reicht es aus, den Internetnutzer auf eine präparierte Webseite zu locken. Der Angriffscode startet dann ohne weitere Interaktion des Benutzers. In der derzeitigen Version des Angriffs wird Flash verwendet, um mittels „HeapSpraying“ den Arbeitsspeicher vorzubereiten. Dies kann bei anderen Angriffen aber auch auf andere Weise
erreicht werden, sodass das Vorhandensein von Flash nicht zwingend notwendig ist.

Ein Sicherheitsupdate des Herstellers ist derzeit nicht verfügbar. Daher empfiehlt das BSI allen Nutzern des Internet Explorers, so lange einen alternativen Browser für die Internetnutzung zu verwenden, bis der Hersteller ein Sicherheitsupdate zur Verfügung gestellt hat. Das BSI steht bezüglich einer Lösung zur Schließung der Schwachstelle mit Microsoft in Verbindung. Sobald die Sicherheitslücke geschlossen ist, wird das BSI darüber informieren.

Nach Microsoft-Angaben ist der neuere Internet Explorer 10 nicht von der Sicherheitslücke betroffen. Allerdings sind traditionell viele Internet-Nutzer mit früheren Software-Versionen unterwegs. In einem Blog-Eintrag erläuterte Microsoft, wie Fachkundige in der Zwischenzeit den Computer mit einer Änderung der Einstellungen und der Installation der Software-Komponente EMET (Enhanced Mitigation Experience Toolkit) absichern können.
Ein kommender «Patch» zur Behebung des Software-Fehlers werde auch von technischen Laien ausgeführt werden können.