Weitere Sicherheitslücke im Internet Explorer
Zusammenfassung
Im Januar 2004 dokumentierte der Sicherheitsforscher „http-equiv“ auf Full Disclosure eine Lücke im Internet Explorer, über die Dateien mit gefälschten Endungen untergeschoben werden konnten. Der Browser prüfte gefälschte CLASSIDs nicht, sodass etwa eine als PDF getarnte HTML-Datei beim Öffnen als HTML ausgeführt wurde. Einen Patch gab es noch nicht, als Schutz half nur, Dateien erst lokal zu speichern.
Ideen
- Dateiendung und tatsächlicher Dateityp können auseinanderfallen.
- Der Browser vertraute einer mitgelieferten Klassenkennung statt dem Inhalt.
- Automatisches Öffnen von PDFs im Browser verschleierte den Vorgang.
- Der Windows Explorer erkannte die Fälschung beim lokalen Öffnen.
Einsichten
- Entscheidungen anhand von Dateiendungen sind ein wiederkehrendes Einfallstor.
- Automatische Komfortfunktionen nehmen Nutzern die Chance, Auffälliges zu bemerken.
Fakten
- Das Muster ähnelte einem kurz zuvor bekannt gewordenen Ordner-Bug in Windows XP.
- Microsoft bot zum Zeitpunkt der Meldung keinen Patch an.
Referenzen
Kritik
- Die empfohlene Umgehung über lokales Speichern setzt Wissen voraus, das Durchschnittsnutzer kaum haben.
Empfehlungen
- Lass Dateitypen anhand des Inhalts statt der Endung prüfen, etwa mit file oder MIME-Sniffing-Schutz.
- Deaktiviere das automatische Öffnen heruntergeladener Dateien im Browser.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.