Sicherheitsrisiko Internet Explorer

[QuHno]

Original geschrieben von god2000
Ich lass den IE. Und wenn ich dann weniger Funktionen haben will und dafür mehr Sicherheit dann kann ich ja immer noch Java usw. abstellen.

Nun... ich habe zwar immer noch Windows, aber keinen IE mehr. Wieviele Klicks musst Du eigentlich machen, um Java ein bzw auszuschalten? Oder VBS oder sonstige ActiveX Sachen? Wie tief sind eigentlich die Cookies im IE versteckt (ok, die Dinger sind normalerweise harmlos, aber da gabs mal so ein nettes, welches mit ein klein wenig Zusatzcode im IE Schaden anrichten konnte...)

Das haben vermutlich die anderen (Opera usw.) eh schon abgestellt (schätze ich).

Nein, Opera hat es nicht abgestellt, aber es ist supereinfach auszuschalten:
[F12] läßt grüßen...

Ansonsten:
Die Logfiles einiger der Webseiten die ich betreue zeigen mir, dass 99,2% aller User JS/VBS eingeschaltet haben, also behaupte ich einfach einmal, dass dem normalen User die Sicherheit $ch3/$$egal ist... :mad
Daraus folgt:
Es wird einfach noch zu wenig gehackt :devil

 

[jorgi]

es ist ja bekannt, dass wen microsoft eine lücke schließt, zwei neue auftauchen, deswegen nehme ich den ie nur zum anschauen von offlein html dateien (wegen homepagebau) sonst nehme ich nur opera.
cu all fisch

 

[JensusUT]

Kleines Update, ich wollte keinen neuen Thread aufmachen... (nicht schon wieder!!)

Internet Explorer lädt und startet beliebige Programme

Der c't-Browsercheck auf heise Security demonstriert jetzt eine der am Montag gemeldeten Schwachstellen des Internet Explorer. Bei dieser Sicherheitslücke genügt ein voreiliger Klick auf eine URL, um ohne weitere Nachfragen ein beliebiges Programm aus dem Internet herunterzuladen, auf dem Rechner zu installieren und auch gleich auszuführen. Dabei kann es sich genausogut um einen Virus, einen 0190-Dialer oder ein Schadprogramm handeln, das alle erreichbaren Dateien löscht. Wir konnten diesen Vorgang mit Internet Explorer 6.0 und 5.x mit allen am 18.9.2003 verfügbaren Patches reproduzieren.

Ursache des Problems ist die ungenügende Absicherung des <Object>-Tags, über das ActiveX-Komponenten aufgerufen werden. Diesem Tag kann man eine Bezugsquelle für das Objekt als URL übergeben und dabei lassen sich die Sicherheitsmechanismen des Internet Explorer umgehen. Ähnliche Probleme mit ActiveX gibt es seit mindestens drei Jahren. Microsoft stellt immer wieder Patches bereit, nach deren Einspielen die aktuellen Exploits nicht mehr funktionieren. Einige Zeit später tauchten jedoch immer wieder neue Variationen auf, die demonstrierten, dass Microsoft die Lücke doch nicht richtig geschlossen hat. Für die aktuelle Variante gibt es derzeit noch keinen Patch von Microsoft.

Quelle