bk99.de entertain the web since 1997

bk99.de
g · SicherheitKuratiert

Internet Explorer hat Sicherheitslücke in JavaScript

Zusammenfassung

Der bulgarische Sicherheitsforscher Georgi Guninski veröffentlichte im Januar 2002 eine Lücke im Internet Explorer, über die JavaScript lokale Dateien lesen und Programme starten konnte. Ursache war eine falsche Interpretation der Funktion GetObject(); betroffen waren der gepatchte IE 6.0 und IE 5.5 SP2 unter Windows 2000. Guninski hatte Microsoft nach eigenen Angaben drei Wochen vorher informiert, ohne Reaktion.

Ideen

  • Eine Skriptfunktion im Browser konnte auf das lokale Dateisystem zugreifen.
  • Nach ausbleibender Herstellerreaktion veröffentlichte der Entdecker die Details.
  • Auch vollständig gepatchte Browser waren betroffen.

Einsichten

  • Veröffentlichung nach Fristablauf erzeugt Druck auf säumige Hersteller.
  • Die Grenze zwischen Webinhalt und lokalem System war bei frühen Browsern durchlässig.

Fakten

  • Die Lücke wurde in der zweiten Dezemberwoche 2001 entdeckt.
  • Guninski empfahl, Active Scripting im Internet Explorer dauerhaft zu deaktivieren.

Referenzen

Kritik

  • Die Meldung gibt Guninskis Angaben wieder, ohne eine Stellungnahme von Microsoft einzuholen.

Empfehlungen

  • Deaktiviere aktive Inhalte für nicht vertrauenswürdige Seiten, wenn ein Browser ungepatchte Lücken hat.
  • Nutze bei bekannten, offenen Browserlücken vorübergehend einen alternativen Browser.

Originalartikel lesen →

Im Webarchiv suchen

g · 2004

Weitere Sicherheitslücke im Internet Explorer

Im Januar 2004 dokumentierte der Sicherheitsforscher „http-equiv“ auf Full Disclosure eine Lücke im Internet Explorer, über die Dateien mit gefälschten Endungen untergeschoben werden konnten. Der Browser prüfte gefälschte CLASSIDs nicht, sodass etwa eine als PDF getarnte HTML-Datei beim Öffnen als HTML ausgeführt wurde. Einen Patch gab es noch nicht, als Schutz half nur, Dateien erst lokal zu speichern.

g · 2010

Exploits für IE-Sicherheitslücke kursieren im Internet

Im Januar 2010 kursierten Exploits für die Internet-Explorer-Lücke, über die Angreifer zuvor Google und weitere Firmen angegriffen hatten. Laut The Register kannten sowohl Metasploit als auch Immunity Canvas den Code, der über einen ungültigen Zeigerzugriff die Kontrolle über den Rechner ermöglichte. Getestet funktionierte er in IE 6 und 7 unter Windows XP SP3, IE 8 stürzte zunächst nur ab.

g · 2023

Sicherheitslücke in SugarCRM-Servern wird aktiv ausgenutzt

Angreifer nutzten Anfang 2023 eine kritische Lücke in SugarCRM (CVE-2023-22952), um Server zu übernehmen und Schadsoftware zu installieren. Über den Pfad /index.php/ ließ sich die Authentifizierung umgehen, danach lud ein POST-Request eine PNG-Datei mit PHP-Code hoch, die bei späterem Abruf ausgeführt wurde. Censys fand bis zum 11. Januar 354 kompromittierte Server, knapp zwölf Prozent aller 3059 erreichbaren Instanzen.