Internet Explorer löscht HD
Internet-Software von Microsoft ist ein Sicherheitsrisiko
Festplattencrash durchs Internet: Anwender des lnternet Explorer von
Microsoft müssen um ihre Daten fürchten. Diese Browser-Software verwenden
Millionen von Anwendern, um die Inhalte im Internet auf ihren PCs
darzustellen.
Erst vor wenigen Wochen führte der Chaos Computer Club vor,
wie man mit Hilfe der ActiveX-Controls das Finanzprogramm
Quicken manipulieren kann.
Nun haben drei Studenten des Polytechnischen Institutes,
Worcester, einen noch viel bedenklicheren Fehler entdeckt.
Ganz ohne ActiveX und mit dem höchsten Sicherheitslevel als
MSIE-Voreinstellung lassen sich beliebige System-Programme auf dem
Windows 95-Rechner des Anwenders starten. Windows-Programme können
gestartet, Verzeichnisse geöffnet, erstellt bzw. gelöscht werden.
Im schlimmsten Fall kann sogar die Festplatte formatiert werden.
Und das auch noch auf denkbar einfache Art: Wird ein Link auf
irgendeiner HTML-Seite mit einer Datei verbunden, die entweder
die Extension *.lnk bzw. .url haben, so starten diese
Windows-Verknüpfungen (Shortcuts) jedes beliebige Programm
auf dem Rechner.
Solche Shortcuts können ohne große Mühe von jedem geschrieben werden.
Sie dienen normalerweise dazu, beispielsweise Programme als Icon auf
dem Desktop abzulegen. Da diese Shortcuts den Programmablauf beschleunigen
sollen, startet Windows die angegebenen Prozedueitere Rückfrage.
Damit aber noch nicht genug: Durch die Verbindung mit Java, JavaScript oder
VBScript lassen sich Dateien jeder Art auf die Festplatte des Onliners
schaufeln. Und mit Hilfe des Meta-Refresh Tags, einem einfachen HTML-Befehl,
lassen sich sogar Stapelprogramme transferieren und starten. Der MSIE-Fehler
betrifft hauptsächlich das Betriebssystem Windows 95, teilweise aber auch
Windows NT.
Unter NT lassen sich Programme nur mit Hilfe von URL-Dateien starten. Dafür
ist es bei solchen Dateien aber auch möglich, auf dem Rechner gezielt nach
bestimmten Dateien suchen, um sie zur Ausführung zu bringen.
Die Studenten, Paul Greene, Geoffrey Elliott und Brian Morin, haben zur
Verdeutlichung eine Web-Site mit funktionierenden Beispielen zusammengestellt:
http://www.cybersnot.com/iebug.html
Microsoft wurde am 3. März über diese Möglichkeiten informiert und spricht
von einer "potentiellen Sicherheitslücke". Innerhalb von 48 Stunden soll
eine Lösung gefunden werden.
Nach Ansicht der Studenten in Worcester ist diese Problematik
durch die Microsoft-Strategie zu erklären, den MSIE immer mehr
mit dem Windows-Desktop zu verbinden und Microsoft-Rechner
in Internet-Rechner umzuwandeln.
Nachtrag (5.3.97, 21:00): Microsoft gibt bekannt, daß für die
amerikanische Version des MSIE 3.01 ein Bug-Fix bereitsteht.
Benutzer des MSIE 3.0 bzw. der nationalen Versionen müssen
sich noch etwas gedulden.
Nachtrag (7.3.97, 10:30): Studenten der Universität Maryland
haben einen weiteren Fehler im Explorer gefunden. Dieser Fehler
hat nichts mit dem oben beschriebenen zu tun. Die von MS
inzwischen herausgegenen Patches für die nationalen und
internationalen Versionen sind dagegen unwirksam! Besonders
betroffen: Windows NT mit CIFS (Common Internet File System).
|