zur Frontseite
7.3.1997

Hackernews

Amigareview I

Sicherheitslücke bei MS Servern

Der Swisscom- Ueberwacher

Manipulierte Prozessoren

Microsoft 2000

Sicherheit bei Pagern

Musik für alle: MP3

Die Natel- Entschuldigung

Telefone abhören

Datendiebstahl mit IEX4

Keine 5555-Vebindung

Online Information

Was ist los mit Apple?

billiger telefonieren???

billiger Telefonieren

Störung im Videotex-Netz

MicroSoft wieder auf Systemerforschung

Der Trick mit Frames

AMD gegen Intel

Compi-Hilfe für die Züglete

MS IExplorer als Risiko

Sky - Karten

Telefonkarten

Cash Card

Redi Vision

Amigareview II

Fast Box

Amigareview I

Internet Explorer löscht HD

Internet-Software von Microsoft ist ein Sicherheitsrisiko Festplattencrash durchs Internet: Anwender des lnternet Explorer von Microsoft müssen um ihre Daten fürchten. Diese Browser-Software verwenden Millionen von Anwendern, um die Inhalte im Internet auf ihren PCs darzustellen.

Erst vor wenigen Wochen führte der Chaos Computer Club vor, wie man mit Hilfe der ActiveX-Controls das Finanzprogramm Quicken manipulieren kann.

Nun haben drei Studenten des Polytechnischen Institutes, Worcester, einen noch viel bedenklicheren Fehler entdeckt.

Ganz ohne ActiveX und mit dem höchsten Sicherheitslevel als MSIE-Voreinstellung lassen sich beliebige System-Programme auf dem Windows 95-Rechner des Anwenders starten. Windows-Programme können gestartet, Verzeichnisse geöffnet, erstellt bzw. gelöscht werden. Im schlimmsten Fall kann sogar die Festplatte formatiert werden.

Und das auch noch auf denkbar einfache Art: Wird ein Link auf irgendeiner HTML-Seite mit einer Datei verbunden, die entweder die Extension *.lnk bzw. .url haben, so starten diese Windows-Verknüpfungen (Shortcuts) jedes beliebige Programm auf dem Rechner.

Solche Shortcuts können ohne große Mühe von jedem geschrieben werden. Sie dienen normalerweise dazu, beispielsweise Programme als Icon auf dem Desktop abzulegen. Da diese Shortcuts den Programmablauf beschleunigen sollen, startet Windows die angegebenen Prozedueitere Rückfrage.

Damit aber noch nicht genug: Durch die Verbindung mit Java, JavaScript oder VBScript lassen sich Dateien jeder Art auf die Festplatte des Onliners schaufeln. Und mit Hilfe des Meta-Refresh Tags, einem einfachen HTML-Befehl, lassen sich sogar Stapelprogramme transferieren und starten. Der MSIE-Fehler betrifft hauptsächlich das Betriebssystem Windows 95, teilweise aber auch Windows NT.

Unter NT lassen sich Programme nur mit Hilfe von URL-Dateien starten. Dafür ist es bei solchen Dateien aber auch möglich, auf dem Rechner gezielt nach bestimmten Dateien suchen, um sie zur Ausführung zu bringen. Die Studenten, Paul Greene, Geoffrey Elliott und Brian Morin, haben zur Verdeutlichung eine Web-Site mit funktionierenden Beispielen zusammengestellt: http://www.cybersnot.com/iebug.html Microsoft wurde am 3. März über diese Möglichkeiten informiert und spricht von einer "potentiellen Sicherheitslücke". Innerhalb von 48 Stunden soll eine Lösung gefunden werden.

Nach Ansicht der Studenten in Worcester ist diese Problematik durch die Microsoft-Strategie zu erklären, den MSIE immer mehr mit dem Windows-Desktop zu verbinden und Microsoft-Rechner in Internet-Rechner umzuwandeln.

Nachtrag (5.3.97, 21:00): Microsoft gibt bekannt, daß für die amerikanische Version des MSIE 3.01 ein Bug-Fix bereitsteht. Benutzer des MSIE 3.0 bzw. der nationalen Versionen müssen sich noch etwas gedulden.

Nachtrag (7.3.97, 10:30): Studenten der Universität Maryland haben einen weiteren Fehler im Explorer gefunden. Dieser Fehler hat nichts mit dem oben beschriebenen zu tun. Die von MS inzwischen herausgegenen Patches für die nationalen und internationalen Versionen sind dagegen unwirksam! Besonders betroffen: Windows NT mit CIFS (Common Internet File System).



OTS-Pressetext, redigiert für Biwidus: Gaudimax (EMail)