Am Freitag, den 12. April, veröffentlichte der IT-Sicherheitsexperte John Page Informationen über eine unbehobene Schwachstelle in der aktuellen Version von Internet Explorer und demonstrierte deren Ausnutzung. Diese Schwachstelle könnte potenziell dazu führen, dass ein Angreifer auf lokale Dateien von Windows-Nutzern zugreifen kann, indem er die Sicherheitsmechanismen des Browsers umgeht.
Die Schwachstelle liegt darin, wie Internet Explorer Dateien im MHTML-Format verarbeitet, das normalerweise die Erweiterung .mht oder .mhtml hat. Dieses Format wird in Internet Explorer standardmäßig verwendet, um Webseiten zu speichern, und ermöglicht es, den gesamten Inhalt einer Seite zusammen mit allen Medieninhalten in einer einzigen Datei zu sichern. Derzeit speichern die meisten modernen Browser Webseiten nicht mehr im MHT-Format, sondern verwenden das standardisierte WEB-Format — HTML. Trotzdem unterstützen sie weiterhin die Verarbeitung von Dateien in diesem Format und können es entsprechend den Einstellungen oder durch Erweiterungen zur Speicherung verwenden.
Die von John entdeckte Schwachstelle gehört zur Klasse der XXE (XML eXternal Entity) Schwachstellen und beruht auf einer fehlerhaften Konfiguration des XML-Handlers in Internet Explorer. „Diese Schwachstelle ermöglicht es einem Angreifer, auf lokale Dateien des Benutzers zuzugreifen und beispielsweise Informationen über die in dem System installierte Softwareversion zu extrahieren“, erklärt Paige. „So wird eine Anfrage für ‘c:Python27NEWS.txt’ die Version dieses Programms (in diesem Fall den Python-Interpreter) zurückliefern.“
Da in Windows alle MHT-Dateien standardmäßig in Internet Explorer geöffnet werden, ist die Nutzung dieser Schwachstelle trivial, da der Benutzer lediglich doppelt auf eine gefährliche Datei klicken muss, die er per E-Mail, in sozialen Netzwerken oder Messengern erhalten hat.
„In der Regel erhält der Benutzer beim Erstellen einer ActiveX-Objektinstanz, wie Microsoft.XMLHTTP, eine Sicherheitswarnung im Internet Explorer, die um Bestätigung zur Aktivierung des blockierten Inhalts bittet“, erklärt der Forscher. „Beim Öffnen einer vorab vorbereiteten .mht-Datei mit speziell formatierten -Tags erhält der Benutzer jedoch keine Warnung vor potenziell gefährlichem Inhalt.“
Laut Page hat er die Schwachstelle erfolgreich in der aktuellen Version des Internet Explorers 11 mit allen neuesten Sicherheitsupdates in Windows 7, Windows 10 und Windows Server 2012 R2 getestet.
Wahrscheinlich ist die einzige positive Nachricht über die Offenlegung dieser Schwachstelle, dass der einst dominierende Marktanteil von Internet Explorer auf etwa 7,34 % gesunken ist, laut NetMarketShare. Da Windows Internet Explorer jedoch als Standardanwendung zum Öffnen von MHT-Dateien verwendet, müssen Benutzer IE nicht als Standardbrowser festlegen, um weiterhin anfällig zu sein, solange IE noch auf ihren Systemen vorhanden ist und sie den Format von heruntergeladenen Dateien aus dem Internet keine Beachtung schenken.
Am 27. März informierte John Microsoft über diese Schwachstelle in ihrem Browser, doch am 10. April erhielt der Forscher eine Antwort des Unternehmens, in der es erklärte, dass es diese Problematik nicht als kritisch erachtet.
„Der Fix wird nur mit der nächsten Version des Produkts veröffentlicht“, heißt es in dem Schreiben von Microsoft. „Aktuell planen wir nicht, eine Lösung für dieses Problem bereitzustellen.“
Nach der klaren Reaktion von Microsoft veröffentlichte der Forscher die Einzelheiten zu der Zero-Day-Schwachstelle auf seiner Website sowie Demonstrationscode und ein Video auf YouTube.
Obwohl die Ausnutzung dieser Sicherheitslücke nicht einfach ist und erfordert, dass der Nutzer eine unbekannte Datei im MHT-Format ausführt, sollte diese Schwachstelle nicht auf die leichte Schulter genommen werden, auch wenn Microsoft bislang nicht reagiert hat. Hackergruppen haben in der Vergangenheit bereits MHT-Dateien für Phishing und die Verbreitung von Malware verwendet, und es gibt nichts, was sie daran hindern könnte, dies erneut zu tun.
Um diese und viele ähnliche Sicherheitslücken zu vermeiden, ist es ausreichend, einfach auf die Dateiendungen der Dateien zu achten, die Sie aus dem Internet erhalten, und sie mit einem Antivirenprogramm oder auf der Website VirusTotal zu überprüfen. Zur zusätzlichen Sicherheit sollten Sie Dateien mit den Endungen .mht oder .mhtml einfach Ihrem bevorzugten Browser als Standardanwendung zuweisen, anstatt Internet Explorer zu verwenden. In Windows 10 ist dies recht einfach im Menü „Standardanwendungen für Dateitypen auswählen“ möglich.
Quelle: 3dnews.ru
