Microsoft warnt vor neuer Zero-Day-Lücke in Internet Explorer

Microsoft hat vor einer neuen Sicherheitslücke gewarnt. Sie beseht in Internet Explorer 6, 7 und 8 unter Windows XP, Server 2003, Vista, Server 2008, 7 sowie Server 2008 R2. Ein Angreifer könnte über eine manipulierte Website Schadcode einschleusen und ausführen.

Die Schwachstelle wird nach Angaben des Unternehmens schon aktiv ausgenutzt. „Der Exploit wurde auf einer einzelnen Website entdeckt, die den Schadcode nicht mehr hostet“, schreibt Microsoft-Sprecher Jerry Bryant im Blog des Security Response Center. Der Angriff sei das Werk von Kriminellen und Microsoft werde, falls möglich, rechtliche Schritte gegen die Verantwortlichen einleiten.

Der Sicherheitswarnung zufolge schützt die Datenausführungsverhinderung (DEP) vor den Folgen eines Angriffs. Das Feature ist in der Voreinstellung für Internet Explorer 8 unter Windows XP SP3, Vista SP1 und SP2 sowie Windows 7 aktiviert. Der geschützte Modus des Browsers kann zudem unter Vista und Windows 7 die Auswirkungen eines Angriffs minimieren.

Darüber hinaus empfiehlt der Softwarekonzern, DEP auch für Internet Explorer 7 zu aktivieren und E-Mails bis zur Veröffentlichung eines Patches im Nur-Text-Format anzuzeigen. Zudem sollte die Sicherheitsstufe für die Zonen „Internet“ und „Lokales Intranet“ auf „hoch“ gestellt werden, um ActiveX-Controls und Active Scripting zu blockieren.

Nach Angaben von Symantec wird die Codelücke durch eine Kombination von Social Engineering und Drive-by-Downloads missbraucht. Hacker verschickten E-Mails an ausgewählte Nutzer beispielsweise in Firmen. „Die E-Mail enthält einen Link zu einer legitimen Website“, sagte der Symantec-Mitarbeiter Vikram Thakur. „Die Hacker haben sich Zugang zu der Website verschafft und ohne Wissen des Eigentümers Inhalte hochgeladen.“

Der Exploit richte sich bisher nur gegen Nutzer der Versionen 6 und 7 des Microsoft-Browsers, so Thakur. Ziel sei es, einen Trojaner einzuschleusen. Laut Microsoft ist die Beta des Internet Explorer 9 nicht betroffen.

„Wir arbeiten an einem Sicherheitsupdate“, heißt es weiter im Blog des Security Response Center. „Das Problem erfüllt nicht die Kriterien für ein außerplanmäßiges Update.“ Der nächste reguläre Patchday findet am 9. November statt.