Letzte Woche berichtete ich von einem bösem Sicherheitsproblem in Microsofts Internet Explorer. Nun hat sich das Problem offenbar verschärft. heise.de schreibt dazu:
Internet-Explorer-Nutzer aufgepasst: Das Waffenarsenal des Angriffsframeworks Metasploit wurde um ein Modul ergänzt, das die kritische Zero-Day-Lücke im IE ausnutzen kann. Somit kann sich nun jedermann eine passende Exploit-Webseite zusammenbauen. Das Modul ie_setmousecapture_uaf entstand, nachdem ein Sicherheitsforscher den Angriffscode mit dem JavaScript-Deobfuscator jsunpackuntersucht hatte, wodurch der Code in das öffentlich zugänglich Archiv des Dienstes aufgenommen wurde.Das heißt also: Führt das Fix schnellstmöglich aus!
Das Metasploit-Modul kann in der derzeitigen Form Windows-7-Systeme angreifen, auf denen der Internet Explorer 9 sowie Office 2007 oder 2010 installiert ist. Office wird benötigt, da der Exploit Code-Fragemente aus dem Help Data Services Module (hxds.dll) von Office recycelt, um die Schutzmechanismen Data Execution Prevention (DEP) sowie Address Space Layout Randomization (ASLR) zu umgehen. Bei der Lücke handelt es sich um einen sogenannten Use-After-Free-Fehler, also einen Zugriff auf einen freigegebenen Speicherbereich. Sie klafft in der Funktion mshtml!CDoc::SetMouseCapture.
Da die Schwachstelle grundsätzlich die IE-Versionen 6 bis 11 betrifft, ist es nur eine Frage der Zeit, bis auch für die übrigen Ausgaben passende Exploits in Umlauf gebracht werden. Wer den Internet Explorer nutzt, sollte daher umgehend das von Microsoft bereitgestellte Fix-it-Tool installieren, das die Lücke provisorisch abdichtet. Einen vollwertigen Patch, der dann auch automatisch über Windows Update verteilt wird, soll am Oktober-Patchday – also Dienstag, den 8. Oktober – veröffentlicht werden. Wer seinen IE hingegen nicht absichert, riskiert, dass sein System beim Surfen mit Schadcode infiziert wird.
Ach übrigens, Windows-Updates macht ihr selbstständig und regelmäßig?!?!?
Keine Kommentare:
Kommentar veröffentlichen