Internet Explorer 8 seit Monaten mit offener Sicherheitslücke

Seit Oktober 2013 befindet sich in Microsofts Internet Explorer 8 eine Zero-Day-Lücke. Der Softwarekonzern hat die Schwachstelle bislang nicht behoben. Das berichtet die Zero-Day Initiative (ZDI) des von dem zu Hewlett-Packard gehörenden Sicherheitsunternehmens TippingPoint. Zero-Day-Lücken müssen veröffentlicht werden, sollte nach mehr als 180 Tagen kein Patch erschienen sein. Das sehen die ZDI-Richtlinien vor.

Aus dem Bericht geht hervor, dass Angreifer über die Lücke im Microsoft-Browser Schadcode ausführen können. Dafür müssen Nutzer nur eine manipulierte Website aufrufen.

Microsoft ist der Fehler seit Oktober bekannt, das Unternehmen hat aber bis heute keinen Patch veröffentlicht. Der Konzern wollte nicht kommentieren, ob das daran liegt, dass das Problem zu schwer zu lösen ist oder der Grund vielmerh ist, dass Internet Explorer 8 die letzte Browserversion für das nicht mehr offiziell unterstützte Windows XP ist.

Microsoft teilte nur mit, dass bislang kein aktiver Exploit für die Zero-Day-Lücke bekannt ist. “Wir entwickeln und testen jeden Sicherheitsfix so schnell wie möglich. Einige Fixes sind komplexer als andere. Wir müssen jeden einzelnen mit einer Vielzahl von Programmen und Konfigurationen testen”, erklärte ein Microsoft-Sprecher.

Seit dem Support-Ende für Windows XP im April ist bereits eine andere Zero-Day-Lücke in IE8 bekannt geworden. Microsoft hatte daher kurz nach dem offiziellen Ende der Unterstützung für das Betriebssystem doch noch einen Notfall-Patch für einen den Exploit zu veröffentlichen.

Neben dem Rat, auf ein aktuelles Betriebssystem zu wechseln, empfiehlt Microsoft Nutzern von IE8, die Sicherheitsstufe für die Internet-Zone auf “hoch” zu stellen. Dies blockiert ActiveX Controls und Active Scripting. Darüber hinaus sollte die Warnung vor der Ausführung von Active Scripting in Internet Explorer aktiviert werden. Active Scripting kann auch in den Sicherheitszonen Internet und lokales Intranet deaktiviert werden. Zudem rät Microsoft zur Installation des Enhanced Mitigation Experience Toolkit (EMET).

[mit Material von Björn Greif, ZDNet.de]

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.