Microsoft: Patch für Lücke in URI-Verarbeitung kommt

Nachdem es die letzten drei Monate fast vollkommen still um eine Sicherheitslücke im Internet Explorer 7 geworden war, kommt nun wieder Bewegung in die Sache. Sicherheitsexperten, Microsoft und Mozilla waren bisher uneins, wo die Ursache für die Schwachstelle in der Verarbeitung von URIs (Uniform Resource Identifier) zu suchen ist. Mozillas Browser Firefox war von dem Problem ebenfalls betroffen, doch die Entwickler reagierten umgehend und veröffentlichten bereits kurz nach Bekanntwerden der Lücke eine aktualisierte Version. Das zugrundeliegende Problem wurde nun von Microsoft bestätigt. Die Redmonder veröffentlichten einen entsprechenden Sicherheitshinweis und kündigten einen Patch an.

Man habe den Fehler mittlerweile gefunden, so dass die Arbeiten an einem entsprechenden Patch schon auf Hochtouren laufen, teilte das Microsoft Security Response Center über sein Weblog mit. Microsoft warnte jedoch davor, dass man zwar die Windows APIs verändern könne, um mögliche Attacken abzuwehren, doch auch von den Entwicklern der Software von Drittanbietern müssten Schutzmaßnahmen ergriffen werden.

Die Drittanbieter sollen künftig sicherstellen, dass zum Beispiel die über die so genannten Application Protocol Handler aus dem Browser heraus aufgerufenen Programme sämtliche Anfragen zunächst prüfen, bevor sie die geforderten Aktionen durchführen und die weitergegebenen Daten verwenden.

Die Schwachstelle tritt nur bei der Version des Internet Explorer 7 für Windows XP und Windows Server 2003 auf. Der Internet Explorer 6 und die in Vista integrierte Ausgabe des Internet Explorer 7 sind nicht betroffen. Nach Angaben von Microsoft wird mit dem Internet Explorer 7 eine Komponente von Windows aktualisiert, so dass URIs anders verarbeitet werden als bisher, wodurch die Lücke entsteht.

Wann Microsoft den nun angekündigten Patch zum Download bereit stellen will ist nicht bekannt. Der nächste Patch-Day im November ist aber ein möglicher Termin. Bis dahin bleibt zu hoffen, dass die Schwachstelle weiterhin nicht von Internetkriminellen für Angriffe ausgenutzt wird. Microsoft selbst empfiehlt wie immer, keine nicht vertrauenswürdigen Links anzuklicken.