Schadcode für ungepatchte IE-Lücke veröffentlicht

Er ist im Testframework Metasploit verfügbar. Auch ein Video belegt das Problem, das zunächst in China gesichtet worden sein soll. Angreifer können beliebigen Code aus der Ferne ausführen.

Microsoft untersucht eine neue, ungepatchte Lücke im Internet Explorer, die es Angreifern ermöglicht, beliebigen Code auszuführen. Ein Beispiel-Exploit für die Schwachstelle ist innerhalb des Sicherheitstools Metasploit verfügbar. Außerdem findet sich auf der Metasploit-Website ein Video, das die Existenz der Schwachstelle belegen soll.

VUPEN zufolge wäre es Angreifern möglich, per Internet die komplette Kontrolle eines Systems zu übernehmen. In der Bibliothek mshtml.dll werde Speicher verfrüht freigegeben und erneut beschrieben (ein sogenanntes „use-after-free„-Leck). Dieser Fehler tritt auf, wenn eine Website ein Cascading Style Sheet referenziert, das bestimmte, selbstreferenzielle „@import“-Regeln enthält. Ein C++-Objekt werde gelöscht und später wieder verwendet.

VUPEN bestätigt die Schwachstelle für Internet Explorer 8 unter Windows 7, Vista und XP SP3. Unter XP SP3 sind auch IE7 und IE6 betroffen.

Das Video zur Schwachstelle stammt von Abysssec Security Research. Es enthält eine zusätzliche Information: Der Exploit umgehe erfolgreich zwei wichtige Antimalware-Mechanismen von Microsoft (DEP und ASLR), ohne auf Erweiterungen von Dritten zuzugreifen.

Einem Medienbericht zufolge war die Lücke erstmalig in einem chinesischen Sicherheitsblog gemeldet worden.

Themenseiten: Browser, China, Internet Explorer, Microsoft

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Schadcode für ungepatchte IE-Lücke veröffentlicht

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *