Patch für den Internet Explorer fehlerhaft

Der im August veröffentlichte Patch Q822925 für den Internet Explorer, der das Object-Data-Tag-Sicherheitslochs schließen soll, ist offenbar unwirksam. Dies wird in einem Beitrag der Sicherheits-Mailingliste Full-Disclosure berichtet. Betroffen sind die Versionen 5.01, 5.5 und 6.0 des Browsers.

Durch einen Fehler im Patch ist die Sicherheitslücke nach wie vor für potentielle Angreifer offen. Durch eine inkorrekte Prüfung des Objekt-Typs ist es möglich, mit einer speziell präparierten Webseite oder einer E-Mail im HTML-Format beliebigen Programmcode auf dem Zielrechner auszuführen.

Unabhängig voneinander haben Malware.com und eEye den Fehler im Sicherheits-Patch bestätigt. Solange es keinen neuen Patch gibt, wird empfohlen, das Active-Scripting-Feature zu deaktivieren. Dies geschieht im Menü "Extras | Internetoptionen | Sicherheit | Stufe anpassen".

09.09.2003 0