Aktualisierte Technische Warnung des Buerger-CERT

[Bcert-2010-0127/3]:
Kritische Sicherheitsluecke im Internet Explorer

Risiko: Hoch

Betroffene Systeme:
Internet Explorer 6,
Internet Explorer 7,
Internet Explorer 8

Aktualisierungen dieser Technischen Warnung:
23.12.2010: Der Hersteller Microsoft hat die Schwachstelle inzwischen
bestaetigt und das Security Advisory (2488013) veroeffentlicht [4].
13.01.2011: Hinweis auf Fixit-Tool ergaenzt [5].

Empfehlung:

Aktuell ist vom Hersteller kein Update oder Patch fuer die
veroeffentlichte CSS-Schwachstelle [1] im Internet Explorer verfuegbar.

Aktualisierung am 13.01.2011:
Microsoft stellt ein Fixit-Tool als Workaround zur Verfuegung, um sich
vor der Ausnutzung der CSS-Schwachstelle im Internet Explorer zu
schuetzen. Das Buerger-CERT raet das Fixit-Tool zu aktivieren, bis
Microsoft ein Sicherheitsupdate bereitstellt.

Alternativ hilft es die Internet Explorer Sicherheitseinstellungen [2],
[3] in der Zone "Internet" und der Zone "Lokales Intranet" auf "Hoch" zu
setzen. Falls ActiveX Controls und Active Scripting in der "Intranet
Zone" dennoch benoetigt werden, kann alternativ auch eingestellt werden,
dass jedes Mal nachgefragt wird, bevor ein ActiveX Control bzw. Active
Scripting ausgefuehrt wird. Empfehlenswerter ist es, vertrauenswuerdige
Webseiten in die Zone "Vertrauenswuerdige Sites" aufzunehmen. Hier
entfaellt dann die Nachfrage nach der Ausfuehrung von ActiveX Controls
sowie Active Scripting.

Beschreibung:

Im Webbrowser Internet Explorer existiert eine Sicherheitsluecke, fuer
die bereits oeffentlich Schadcode (Exploitcode) im Internet zur
Verfuegung steht. Die Schwachstelle ermoeglicht Angreifern, ueber eine
manipulierte Webseite Schadcode in einen Windows-Rechner zu schleusen
und zu starten.

Der Hersteller Microsoft hat die Schwachstelle inzwischen bestaetigt
und das Security Advisory (2488013) veroeffentlicht [4].

Die Schwachstelle wird aktuell bereits aktiv ausgenutzt.

Quellen:

[1] Meldung des US-CERT VU#634956
http://www.kb.cert.org/vuls/id/634956

[2] Sicherheits- und Datenschutzfunktionen in Internet Explorer 8
http://windows.microsoft.com/de-DE/windows-vista/Security-and-privacy-features-in-Internet-Explorer-8

[3] Sicherheitszonen in Internet Explorer verwenden
http://support.microsoft.com/kb/174360/de

[4] Microsoft Security Advisory (2488013)
http://www.microsoft.com/technet/security/advisory/2488013.mspx

[5] Microsoft Internet Explorer Fixit Loesung fuer rekursive Cascading
Stylesheets
http://support.microsoft.com/kb/2488013

-----------------------------------------------------------------------

Diese Technische Warnung ist ein kostenloses Service-Angebot des
Buerger-CERT, http://www.buerger-cert.de. Die Informationen werden mit
groesster Sorgfalt recherchiert und aufbereitet, dennoch kann eine
Gewaehr oder Haftung fuer die Vollstaendigkeit und Richtigkeit nicht
uebernommen werden.

Unter http://www.buerger-cert.de haben Sie die Moeglichkeit, diesen
Informationsdienst zu abonnieren oder abzubestellen. Fragen und
Anregungen an die Redaktion bitte an: oeffentlichkeitsarbeit@bsi.bund.de