CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
---|---|---|
5.2 | $0-$5k | 0.00 |
Der Microsoft Internet Explorer, abgekürzt MSIE oder IEX, ist einer der am meisten verbreiteten Webbrowser. Seine Verbreitung wird zur Zeit auf etwa 95 % geschätzt, was sicher auch damit zu tun hat, das er ein Bestandteil moderner Windows-Betriebssysteme ist und somit auf diesen ein Quasi-Standard für Webbrowsing darstellt. Der Internet Explorer geniesst jedoch in Punkto Sicherheit einen sehr schlechten Ruf, wie die Vielzahl der publizierten Schwachstellen zeigt. Liu Die Yu hat am 11. September 2003 gleich mehrere verschiedene Sicherheitslücken zur Software auf Bugtraq gepostet. Durch eine solche kann ein Angreifer Cookies von anderen Seiten innerhalb eines anderen Fensters auslesen. Dazu nutzt er die eine Kombination des file-Protokolls und der Funktion NavigateAndFind. Es wird vermutet, dass so auch das Ausführen von Code im Sicherheitskontext der aufgerufenen Seite möglich ist. Liu Die Yu stellt auf verschiedenen Mirrors Beispiel-Exploits zu dieser Schwachstelle zur Verfügung. Anhand der Postings kann nicht erkennt werden, ob Microsoft früh- oder gleichzeitig über das Bestehen der Schwachstellen informiert wurde. Es ist damit zu rechnen, dass sie das Problem mit einem Patch beheben werden. Als Workaround wird das Deaktivieren von Active Scripting über Tools/Internetoptionen/Sicherheit/Stufe anpassen/Active Scripting empfohlen. Zum Wohl der Sicherheit können Sie dann die Ausführung aktiver Elemente gezielt für einzelne, vertrauenswuerdige URLs erlauben. Zusätzliche Informationen finden sich unter kryptocrew.de. Die Schwachstellen 280, 281, 282 und 284 sind ähnlich.
Die Vielzahl an Schwachstellen, die hauptsächtlich von Liu Die Yu identifiziert und dann auf unter anderem auf Bugtraq publiziert wurden, ähneln sich stark. So ist stets eine JavaScript-Funktion mit der Möglichkeit behaftet, Informationen oder Cookies aus anderen Seiten auszulesen oder gar aktive Inhalte im Sicherheitskontext dieser anzuzeigen. Es scheint also, als sei Microsoft ein grundsätzlicher Designfehler beim Entwickeln des Sicherheitsmodells für JavaScript unterlaufen. Aus Sicherheitsgründen sollten Sie Active Scripting für sämtliche Inhalte verbieten und dann vorzu benötigte Webseiten freizuschalten. Diese Herangehensweise hat sich schon seit vielen Jahren beim Erstellen von Firewall-Regeln bewährt. Nur so können Sie auf der sicheren Seite sein.
Produkt
Typ
Hersteller
Name
Version
Lizenz
Support
- end of life
CPE 2.3
CPE 2.2
CVSSv4
VulDB CVSS-B Score: 🔍VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 5.5VulDB Meta Temp Score: 5.2
VulDB Base Score: 5.5
VulDB Temp Score: 5.2
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
AV | AC | Au | C | I | A |
---|---|---|---|---|---|
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
---|---|---|---|---|---|
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
Exploiting
Klasse: Erweiterte RechteCWE: CWE-269 / CWE-266
ATT&CK: T1068
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
0-Day | freischalten | freischalten | freischalten | freischalten |
---|---|---|---|---|
Heute | freischalten | freischalten | freischalten | freischalten |
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: DisableStatus: 🔍
0-Day Time: 🔍
Patch: windowsupdate.microsoft.com
Timeline
11.09.2003 🔍12.09.2003 🔍
07.04.2017 🔍
Quellen
Hersteller: microsoft.comAdvisory: securityfocus.com⛔
Person: Liu Die Yu
Status: Nicht definiert
Secunia: 9711 - Microsoft Internet Explorer Multiple Vulnerabilities, Extremely Critical
TecChannel: 968 [404 Not Found]
scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍
Siehe auch: 🔍
Eintrag
Erstellt: 12.09.2003 11:27Aktualisierung: 07.04.2017 12:00
Anpassungen: 12.09.2003 11:27 (55), 07.04.2017 12:00 (5)
Komplett: 🔍
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.