Sicherheitslücke im Internet Explorer

Zitronella

Ich verweise mal auf Caschys Artikel , da es kurz und knapp zusammengefasst wurde. Weiterführende Links gibt es da ja auch.
U.a. steht hier

Zitat

Whilst the Microsoft Security Research Center has acknowledged the vulnerability in Internet Explorer, they have also stated that there are no immediate plans to patch this vulnerability in existing versions of the browser.

sprich die Lücke ist Microsoft seit Oktober 2012 bekannt, aber Pläne diese in den bestehenden IE Versionen zu schließen gibt es bislang nicht. :shock:

Heaven_69

Zitat von Zitronella

sprich die Lücke ist Microsoft seit Oktober 2012 bekannt, aber Pläne diese in den bestehenden IE Versionen zu schließen gibt es bislang nicht. :shock:

Naja das ist ja nun nichts wirklich neues das MS sich des öfteren mit sowas Zeit läßt. Das begleitet mich schon mein ganzes Computerleben. Aber drauf hinweisen muß man trotzdem. Deshalb danke für den Hinweis!

Boersenfeger

.. u.a. deswegen wird dieser Browser hier auch nicht mehr aktiv genutzt. Ganz verbannen kann man ihn ja leider immer noch nicht.

Boersenfeger

Microsoft handelt nun doch...
http://www.pcwelt.de/news/Experten_…215784&pm_ln=68

Artist

Boersenfeger: Interessant finde ich in dem von dir verlinkten Artikel den Satz "Die Lücke soll bereits von seriösen Unternehmen ausgenutzt werden."

Boersenfeger

Zitat von Boersenfeger

.. u.a. deswegen wird dieser Browser hier auch nicht mehr aktiv genutzt.

Artist

Bisher dachte ich dass nur "unseriöse" Unternehmen solche Sicherheitslücken ausnutzen

Zitronella

Ich kann mir durchaus vorstellen dass diese Lücke von seriösen Unternehmen ausgenutzt wird. Das muss ja nicht immer negativ gemeint sein. Eine Lücke ausnutzen muss nicht gleich heißen, damit Unfug zu treiben. Sie könnte sie ausnutzen um eine sinnvolle Funktion dafür innerhalb ihres Unternehmens zu haben.

Road-Runner

Zitat

Mindestens zwei große Advertising-Analytics-Unternehmen. so Spider.io-Chef Douglas de Jager, sollen die Lücke bereits für eigene Zwecke missbrauchen, um die Sichtbarkeit von Werbung auf Websites zu messen.

Quelle (der oben verlinkte Artikel)

Zitronella

ja, stimmt. Da kann man sich dann selbst ein Urteil bilden, inwieweit das negativ ist.
Was ich sagen wollte ist lediglich, dass damit nicht unbedingt kriminelle Machenschaften damit gemeint sein müssen.

Artist

Zitat von Zitronella

...dass diese Lücke von seriösen Unternehmen ausgenutzt wird. Das muss ja nicht immer negativ gemeint sein. Eine Lücke ausnutzen muss nicht gleich heißen, damit Unfug zu treiben. Sie könnte sie ausnutzen um eine sinnvolle Funktion dafür innerhalb ihres Unternehmens zu haben.

Der Artikel ist unter "Sicherheitslücke" gepostet. Eine Sicherheitslücke auszunutzen hört sich für mich schon negativ an. Für ein unseriöses Unternehmen wäre demnach eine Sicherheitslücke in einem Browser eine -für dieses Unternehmen- durchaus sinnvolle Funktion, aber nicht im Sinne des Erfinders und der Browser-Nutzer. Wäre die Funktion gewollt würde ich sie nicht als Sicherheitslücke bezeichnen.
Edit: wenn die Lücke missbraucht wird um "die Sichtbarkeit von Werbung auf Websites zu messen" ist es sicher nicht kriminell, meist aber unerwünscht. Ich denke aber dass wir uns schon einig sind.

Cosmo

Zitat von Zitronella

Ich kann mir durchaus vorstellen dass diese Lücke von seriösen Unternehmen ausgenutzt wird. ... Sie könnte sie ausnutzen um eine sinnvolle Funktion dafür innerhalb ihres Unternehmens zu haben.

Hm, ich habe da ein Problem mit meiner Vorstellung. Ein seriöses Unternehmen verwendet eine Funktion, die zumindest nicht gewollt ist und möglicherweise dann doch einmal über einen Patch wieder entfernt wird (Lücke ist nun einmal Lücke)? Und riskiert dabei, daß die sinnvolle Funktion dann gar keine Funktion mehr ist? Und besteht dann womöglich auf die weitere Verwendung einer unsicheren Version des IE? Nee, da gehen bei mir alle Fußnägel nach oben hinten. Nebenbei, wieviele seriösen Unternehmen haben eine so enge geschäftliche Beziehung zu Sicherheitsforschern, daß sie überhaupt schon seit längerer Zeit über diese Lücke informiert sind? Und wenn, werden solche Kontakte von seriösen Unternehmen gepflegt um sich zu schützen, nicht um Lücken zu instrumentalisieren.

Boersenfeger

Nach 3 Wochen gibts nun ein Patch...
http://blogs.technet.com/b/srd/archive/…-6-7-and-8.aspx

Cosmo

Damit es kein falsches Sicherheitsverständnis gibt:

Das ist kein Patch, sondern eine Interimslösung. Und nach der Beschreibung ist dieses Fix-it auch nicht in der Lage, die Lücke zu schließen, sondern lediglich die Angreifbarkeit der betroffenen IE-Versionen zu verringern. Deshalb für alle, die nicht auf IE 9 upgraden können (Windows XP): Finger weg vom IE, bis MS die Lücke wirklich geschlossen hat.

Boersenfeger

danke dir, wird auf der verlinkten Seite aber auch so (in englisch) erklärt...