Hackernews

Internet Explorer löscht HD

Erst vor wenigen Wochen führte der Chaos Computer Club vor, wie man mit Hilfe der ActiveX-Controls das Finanzprogramm Quicken manipulieren kann.

Nun haben drei Studenten des Polytechnischen Institutes, Worcester, einen noch viel bedenklicheren Fehler entdeckt.

Ganz ohne ActiveX und mit dem höchsten Sicherheitslevel als MSIE-Voreinstellung lassen sich beliebige System-Programme auf dem Windows 95-Rechner des Anwenders starten. Windows-Programme können gestartet, Verzeichnisse geöffnet, erstellt bzw. gelöscht werden. Im schlimmsten Fall kann sogar die Festplatte formatiert werden.

Und das auch noch auf denkbar einfache Art: Wird ein Link auf irgendeiner HTML-Seite mit einer Datei verbunden, die entweder die Extension *.lnk bzw. .url haben, so starten diese Windows-Verknüpfungen (Shortcuts) jedes beliebige Programm auf dem Rechner.

Solche Shortcuts können ohne große Mühe von jedem geschrieben werden. Sie dienen normalerweise dazu, beispielsweise Programme als Icon auf dem Desktop abzulegen. Da diese Shortcuts den Programmablauf beschleunigen sollen, startet Windows die angegebenen Prozedueitere Rückfrage.

Damit aber noch nicht genug: Durch die Verbindung mit Java, JavaScript oder VBScript lassen sich Dateien jeder Art auf die Festplatte des Onliners schaufeln. Und mit Hilfe des Meta-Refresh Tags, einem einfachen HTML-Befehl, lassen sich sogar Stapelprogramme transferieren und starten. Der MSIE-Fehler betrifft hauptsächlich das Betriebssystem Windows 95, teilweise aber auch Windows NT.

Unter NT lassen sich Programme nur mit Hilfe von URL-Dateien starten. Dafür ist es bei solchen Dateien aber auch möglich, auf dem Rechner gezielt nach bestimmten Dateien suchen, um sie zur Ausführung zu bringen. Die Studenten, Paul Greene, Geoffrey Elliott und Brian Morin, haben zur Verdeutlichung eine Web-Site mit funktionierenden Beispielen zusammengestellt: http://www.cybersnot.com/iebug.html Microsoft wurde am 3. März über diese Möglichkeiten informiert und spricht von einer "potentiellen Sicherheitslücke". Innerhalb von 48 Stunden soll eine Lösung gefunden werden.

Nach Ansicht der Studenten in Worcester ist diese Problematik durch die Microsoft-Strategie zu erklären, den MSIE immer mehr mit dem Windows-Desktop zu verbinden und Microsoft-Rechner in Internet-Rechner umzuwandeln.

Nachtrag (5.3.97, 21:00): Microsoft gibt bekannt, daß für die amerikanische Version des MSIE 3.01 ein Bug-Fix bereitsteht. Benutzer des MSIE 3.0 bzw. der nationalen Versionen müssen sich noch etwas gedulden.

Nachtrag (7.3.97, 10:30): Studenten der Universität Maryland haben einen weiteren Fehler im Explorer gefunden. Dieser Fehler hat nichts mit dem oben beschriebenen zu tun. Die von MS inzwischen herausgegenen Patches für die nationalen und internationalen Versionen sind dagegen unwirksam! Besonders betroffen: Windows NT mit CIFS (Common Internet File System).