Technische Warnung des Buerger-CERT

[Bcert-2008-0055/1]:
Kritische Schwachstelle im 'Microsoft Internet Explorer' ermoeglicht
Codeausfuehrung

Risiko: Sehr hoch

Betroffene Systeme:
Alle von Microsoft unterstuetzten Versionen


Empfehlung:

Das Buerger-CERT empfiehlt grundsaetzlich die Sicherheitsstufe fuer die
Internetzone im Internet Explorer auf "Hoch" zu setzen, wodurch die
Ausfuehrung von Java Skript deaktiviert wird. Diese Einstellungen
fuehren allerdings dazu, dass eine Vielzahl von Webseiten nur mit
eingeschraenkter Funktionalitaet genutzt werden kann. Fuer
vertrauenswuerdige Webseiten ermoeglicht der Internet Explorer die
Zulassung von Ausnahmen.

Alternative Browser sind von der Schwachstelle nicht betroffen.
Erwaegen Sie daher bis zur Bereitstellung eines Patches den Einsatz der
Alternativen.

Beschreibung:

Eine Schwachstelle im XML-Parser des Internet Explorers beim
Verarbeiten von SPAN-Tags ermoeglicht einen entfernten Angreifer
beliebigen Code auf betroffenen Systemen auszufuehren. Hierfuer muss der
Angreifer sein Opfer dazu verleiten eine praeparierte Webseite mit dem
Internet Explorer zu besuchen.

Zur Zeit steht kein Patch zur Behebung der Schwachstelle bereit. Die
derzeit im Umlauf befindlichen Exploits benoetigten Java Skript. Es kann
allerdings derzeit nicht ausgeschlossen werden, dass die Schwachstelle
auch ohne die Verwendung von Java Skript ausgenutzt werden kann.

Quellen:

Originalmeldung des Herstellers:
http://www.microsoft.com/technet/security/advisory/961051.mspx

-----------------------------------------------------------------------

Diese Technische Warnung ist ein kostenloses Service-Angebot des
Buerger-CERT, http://www.buerger-cert.de. Die Informationen werden mit
groesster Sorgfalt recherchiert und aufbereitet, dennoch kann eine
Gewaehr oder Haftung fuer die Vollstaendigkeit und Richtigkeit nicht
uebernommen werden.

Unter http://www.buerger-cert.de haben Sie die Moeglichkeit, diesen
Informationsdienst zu abonnieren oder abzubestellen. Fragen und
Anregungen an die Redaktion bitte an: info@buerger-cert.de .