Präparierte Website formatiert dank IE Harddisk

Durch Ausnutzung verschiedener Sicherheitslücken in Microsofts Internet Explorer gelingt es über eine entsprechend präparierte Website beliebige Programme auf fremden Rechnern auszuführen. Der Internet Explorer teilt Websites in zwei Kategorien auf, Internet-Seiten gehören der internet zone an, lokale Intranet-Seiten werden der local computer zone zugerechnet. Letztere verfügen über weniger restriktive Sicherheitseinstellungen. Die Möglichkeit via internet zone in die local computer zone einzudringen und dort Programme auszuführen, ist seit längerem bekannt. Andreas Sandblad, ist es indes gelungen, dieses sogenannte cross-site-scripting-Loch in der Windowshilfe auszunützen und damit Kommandos mit Parameterübergabe auf dem Opfer-PC auszuführen; also etwa verheerende Befehle wie format oder deltree. Gemäss Sandblad ist der Internet Explorer 6 mit den aktuellen Patches anfällig für diese Lücke. Das Onlinemagazin Heise.de testete das Script auch mit dem ungepatchten IE 6 ebenso wie mit dem IE 5.5, gepatcht oder ungepatcht. Bei allem Versionen konnte der Angriff erfolgreich ausgeführt werden. Auf der Heise-Seite können Sie ihren Browser überprüfen. Gemäss Sandblad wurde Microsoft bereits am 4. Oktober über das Problem informiert, habe aber bisher nicht reagiert; die Möglichkeit Programme mit Parametern aus der local Computer zone auszuführen sei schliesslich keine Sicherheitslücke argumentiert der Softwareriese. Einzige Möglichkeit die Gefahr sicher zu vermeiden ist derzeit die Deaktivierung von Active Scripting.