Auftakt zum Reigen der Browser-Bugs

Der Sicherheits-Experte HD Moore will an jedem Tag des Juli eine Browser-Schwachstelle veröffentlichen. Der Metaspoilt-Autor hatte die ungewöhnliche Aktion, ohne weiter auf die Hintergründe einzugehen, in einem Blog-Eintrag angekündigt und den Juli zum "Monat der Browser-Bugs" erklärt. Der Autor wünscht seinen Lesern "Viel Vergnügen" und veröffentlicht nun den täglichen Browser-Bug auf browserfun.blogspot. Ob die Sicherheits-Abteilungen der betroffenen Unternehmen den Humor von HD Moore teilen, ist fraglich. Microsoft hatte Moore in der vergangenen Woche wegen der Veröffentlichung eines Dial-Up-Exploits indirekt angegriffen, worauf dieser konterte und den Handel mit Informationen zu Sicherheitslücken anprangerte.

FRsirt stuft nur eine Schwachstelle als kritisch ein

Den Auftakt zum Reigen der Browser-Bugs machen drei Schwachstellen im Microsoft-Browser Internet Explorer (IE), die Moore bereits im März an das Software-Unternehmen gemeldet hat. Dass Moore nicht Microsofts Internet Explorer im Visier hat, beweist er mit dem vierten Bug des Monats, der den Open-Source-Browser Firefox in der Version 1.5.0.2 auf Gentoo Linux betrifft. Die DesignMode-Sicherheitslücke in Firefox wurde allerdings bereits mit der Veröffentlichung von Firefox 1.5.0.3 geschlossen worden, gibt Moore an.

Von den ersten beiden veröffentlichten IE-Schwachstellen stuft das French Security Incident Response Team (FRsirt) nur die zweite als kritisch ein. Über die Ausnutzung einer Schwachstelle im HTML-Hilfeseiten-Modul HHCtrl könnte ein Angreifer den Browser zum Absturz bringen und möglicherweise das System kapern. Die HHCtrl-Schwachstelle, die beim Besuch von speziell präparieten Webseiten ausgenutzt werden kann, ermögliche Denial-of-Service-Angriffe (DoS) oder die Ausführung von beliebigem Code von Remote-Standorten, erklärt FRsirt. Die erste IE-Sicherheitslücke, die das ActiveX-Element ADODB betrifft, soll zwar auch einen DoS-Angriff erlauben, wird von FRsirt jedoch als weniger kritisch eingestuft. Die dritte IE-Sicherheitslücke, bei der die OutlookExpress.AdressBook-Komponente in den Browser geladen wird, wurde nach Angaben von Moore kürzlich in einem Windows XP-Update bereinigt.