Durch Schwachstellem im Microsoft Internet Explorer können arglistige Webseiten oder HTML-E-Mails beliebige Dateien auslesen.

Betroffene Systeme

• Microsoft Internet Explorer 5.0
• Microsoft Internet Explorer 5.5
• Microsoft Internet Explorer 6.0

Einfallstor
Arglistige Webseite oder HTML-E-Mail

Auswirkung
Es können beliebige Dateien mit den Privilegien des die arglistige Webseite oder HTML-E-Mail betrachtenden Benutzers ausgelesen werden.

Typ der Verwundbarkeit
design flaw

Gefahrenpotential
mittel bis hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Mittels base64-codierter ActiveX-Objekte (htmlfile_FullWindowEmbed und htmlfile) können arglistige Webseiten oder HTML-E-Mails beliebige Dateien, mit den Privilegien des die Webseite oder HTML-E-Mail betrachtenden Benutzers, auslesen.

Gegenmaßnahmen
Es liegt noch keine Reaktion von Microsoft vor.

Workaround
Deaktivieren Sie ActiveX

• Dies erfolgt im Internet Explorer über "Tools | Internet Options | Security | Custom Level | Run ActiveX controls and plug-ins" welches auf disable oder prompt gestellt werden sollte.

Demonstration
Unter http://cert.uni-stuttgart.de/demo/ie/htmlfile_FWE-exploit.htm finden Sie eine Demonstration, welche die lokale Datei c:\test.txt ausliest.

Vulnerability ID
liegt bislang nicht vor

Weitere Information zu diesem Thema

• Vuln-Dev (11/2001) [ALERT] Remote File Execution By Web or Mail: Internet Explorer
• Bugtraq (09/2000) IE 5.5/Outlook Express security vulnerability - GetObject() expose user's files

Weitere Artikel zu diesem Thema:

• [MS/WSH] Windows Script Host Update (2001-04-23)
  Das im März 2001 von Microsoft veröffentlichte Windows Script Host Update war fehlerhaft. Microsoft stellt nun eine korrigierte Version zur Verfügung.
• [MS/IE 5.x] Schwachstelle in der Cache-Architektur des Internet Explorers (2001-03-09)
  Die Cache-Architektur des Internet Explorers besitzt eine Schwachstelle wodurch beim Betrachten einer arglistigen Webseite oder HTML-Email beliebiger Programmcode ausgeführt werden kann.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/