######################################################################
CERT-Bund -- Warn- und Informationsdienst
######################################################################
KURZINFORMATION ZU SCHWACHSTELLEN UND SICHERHEITSLUECKEN
ID: CB-K04/0622
Titel: Neue Schwachstellen in Internet Explorer
Datum: 20.07.2004
Software: Microsoft Internet Explorer
Version: <= 6
Plattform: Microsoft Windows
Auswirkung: Ausfuehren beliebigen Programmcodes
Remoteangriff: Ja
Risiko: hoch
Bezug:
######################################################################
Es sind neue Schwachstellen im Internet Explorer entdeckt worden, die
es einem entfernten Angreifer erlauben Code auf dem betroffenen Sytsem
auszufuehren bzw. an sensible Informationen zu gelangen:
o Click hijacking: durch Zwischenblenden von Pop-Up-Fenstern beim
onMouseDown-Event kann Code auf dem lokalen System platziert
werden
o Erlangen von sensiblen Informtionen durch URLs mit '%2F':
Web-Seiten koennen durch spezielle URLs in der Zone der
'vertrauenswuerdigen Sitzes' bzw. des 'lokalen Intranet' geladen
werden und somit evtl. an sensible Informationen gelangen
o Phishing mit Frames: Webseiten-Manipulation mittels Frames ist
ebenfalls noch moeglich
Mit freundlichen Gruessen
das Team CERT-Bund
=================================================================
BSI - Bundesamt fuer Sicherheit in der Informationstechnik
Referat I 2.1 CERT-Bund
Telefon +49-228-9582-110 / FAX +49-228-9582-427
=================================================================
=======================================================================
HINWEIS:
Die Inhalte dieser Meldung repraesentieren den Kenntnisstand des BSI
zum Zeitpunkt der Versendung. Eine Haftung fuer eventuelle Schaeden
oder Konsequenzen, die durch die direkte oder indirekte Nutzung der
Inhalte entstehen, wird ausgeschlossen.
Diese Meldung kann unter Einhaltung des Urheberrechts im vollstaendigen
Wortlaut, ohne Aenderungen und mit BSI-Copyright-Informationen kopiert
und fuer den persoenlichen und privaten Gebrauch weitergeleitet werden.
Eine kommerzielle Nutzung ist ausdruecklich untersagt.
=======================================================================