[Warning] Mehrere kritische Sicherheitslücken in Microsoft Internet Explorer - Patches noch nicht verfügbar

[Robert Waldner]

21. Juli 2015

Beschreibung

   Die "Zero Day Initiative" (ZDI) hat Informationen über mehrere noch
   ungepatchte Sicherheitslücken in Microsoft Internet Explorer
   veröffentlicht:
     * http://www.zerodayinitiative.com/advisories/ZDI-15-359/
     * http://www.zerodayinitiative.com/advisories/ZDI-15-360/
     * http://www.zerodayinitiative.com/advisories/ZDI-15-361/
     * http://www.zerodayinitiative.com/advisories/ZDI-15-362/

   Höchster CVSS2 Score laut ZDI:
   7.5, (AV:N/AC:L/Au:N/C:P/I:P/A:P).

Details

   Das Problem liegt im Umgang von Internet Explorer mit HTML Tables
   sowie CTreePos, CCurrentStyle und CAttrArray Objekten. Dies kann
   ausgenutzt werden, um beliebigen (Schad-)Code im Kontext des Internet
   Explorer-Prozesses, und damit wohl mit den Rechten des angemeldeten
   Benutzers, auszuführen.

Auswirkungen

   Wenn ein User eine präparierte Datei öffnet oder auf eine
   entsprechende Webseite gelockt wird, dann kann der Angreifer
   beliebigen Code auf betroffenen Systemen, vermutlich mit den Rechten
   des aktuell angemeldeten Benutzers, ausführen.

   Da das Problem nun öffentlich bekannt ist, ist damit zu rechnen dass
   sich die entsprechenden Akteure nun darauf konzentrieren werden,
   entsprechende Webseiten zu erstellen und - etwa mittels Spam-Mails -
   Benutzer dazu zu bringen, diese zu besuchen. Auch eine Integration in
   Exploit Packs ist damit absehbar.

Betroffene Systeme

   Da der Internet Explorer mit allen Versionen von Microsoft Windows
   ausgeliefert wird, sind alle Versionen von Microsoft Windows
   potentiell betroffen - inklusive Windows Phone und der
   Server-Editionen.

Abhilfe

   Da noch keine entsprechenden Updates seitens Microsoft zur Verfügung
   stehen, können wir momentan nur empfehlen, wo möglich andere Web
   Browser (etwa Mozilla Firefox (https://www.mozilla.org/firefox),
   Google Chrome (https://www.google.com/chrome/), Opera
   (http://www.opera.com/)) einzusetzen.

   Wo dies nicht möglich ist, sollte der Internet-Zugriff mittels
   Internet Explorer auf notwendige und vertrauenswürdige Seiten
   eingeschränkt werden (etwa mittels Proxy-Regeln).

   Laut ZDI kann es auch ausreichend sein, "Active Scripting" im
   Internet Explorer abzuschalten bzw. auf "Nachfrage vor Ausführung" zu
   konfigurieren. Wir empfehlen jedoch trotzdem, momentan so weit wie
   möglich auf Nutzung des Internet Explorers zu verzichten.

   Sollten wir zu einem späteren Zeitpunkt über mehr Informationen
   verfügen, werden wir diese Warnung entsprechend aktualisieren - die
   aktuelle Version ist immer via https://cert.at/ abrufbar.

Hinweis

   Generell empfiehlt CERT.at, wo möglich die "automatisches
   Update"-Features von Software zu nutzen, parallel Firewall-Software
   aktiv und den Virenschutz aktuell zu halten.
   Die "Click-to-Play"-Funktionen aktueller Web Browser sollten
   möglichst für alle Arten von Browser-Plugins verwendet werden.
     __________________________________________________________________

   Informationsquelle(n):
   Advisory ZDI-15-359 der Zero Day Initiative (englisch)
   http://www.zerodayinitiative.com/advisories/ZDI-15-359/
   Advisory ZDI-15-360 der Zero Day Initiative (englisch)
   http://www.zerodayinitiative.com/advisories/ZDI-15-360/
   Advisory ZDI-15-361 der Zero Day Initiative (englisch)
   http://www.zerodayinitiative.com/advisories/ZDI-15-361/
   Advisory ZDI-15-362 der Zero Day Initiative (englisch)
   http://www.zerodayinitiative.com/advisories/ZDI-15-362/


-- 
// CERT Austria - Robert Waldner <waldner at cert.at>
// http://www.cert.at/ - T: +43 1 5056416 78
// Eine Initiative der nic.at GmbH
// http://www.nic.at/ - Firmenbuchnummer 172568b, LG Salzburg

-------------- next part --------------
A non-text attachment was scrubbed...
Name: signature.asc
Type: application/pgp-signature
Size: 819 bytes
Desc: OpenPGP digital signature
URL: <http://lists.cert.at/cgi-bin/mailman/private/warning/attachments/20150721/fbc21cc8/attachment.sig>