IE 8: erste Sicherheitslücke

Auf der Sicherheitskonferenz CanSecWest im kanadischen Vancouver hat ein deutscher Student eine bis dahin nicht bekannte Sicherheitslücke im nagelneuen Internet Explorer 8 (IE8) ausgenutzt, um die Kontrolle über den PC zu erlangen. Bei dem Hacker-Wettbewerb «Pwn2own» ist die letzte Vorabversion des IE8 unter Windows 7 Beta zum Einsatz gekommen. Inzwischen ist klar, dass auch die finale Version des IE8 dafür anfällig ist.
Der von der 3Com-Tochter TippingPoint geförderte Wettbewerb hatte begonnen, noch bevor Microsoft wenige Stunde später den IE8 in der finalen Version allgemein verfügbar machte. Sponsor TippingPoint hat den erfolgreichen Exploit des Hackers «Nils» noch während der Konferenz an anwesende Microsoft-Fachleute übergeben.
Innerhalb von 12 Stunden haben die Spezialisten des MSRC-Teams (Microsoft Security Response Center) nach Angabe von TippingPoint den Fehler im Internet Explorer 8 verifiziert und bestätigt - auch für die finale Version. Noch am Montag darauf hat Microsoft-Entwickler Jonathan Ness im SRD-Blog den IE8 als sicheren Browser gefeiert, der unter Windows Vista Sicherheitsfunktionen wie DEP (Data Execution Prevention) und ASLR (Adress Space Layout Randomisation) unterstützt.
Da der Pwn2own-Hack unter Windows 7 Beta erfolgt ist, bleibt für die erste offizielle Sicherheitslücke im Internet Explorer 8 die Frage offen, ob dieser Exploit auch unter Vista im finalen IE8 klappt. Die definitive Antwort darauf muss von Microsoft kommen, sobald es eine Sicherheitsmitteilung oder ein Security Bulletin zu dem Thema veröffentlicht.