Durch eine geschickt formatierte E-Mail-Nachricht können Eudora und Internet Explorer dazu bewogen werden, ohne Rückfrage beim Benutzer in der E-Mail-Nachricht enthaltenen Programmcode auszuführen.

Betroffene Systeme
Systeme, die folgende Software gleichzeitig verwenden:

• Microsoft Internet Explorer (einschließlich Version 5.5 und 6.0)
• QUALCOMM Eudora

Einfallstor
Speziell gestaltete E-Mail-Nachricht, u.a. mit HTML-Anhang

Auswirkung
Ausführung beliebigen Codes auf dem Zielsystem

Typ der Verwundbarkeit
design flaw

Gefahrenpotential
sehr hoch (wenn Eudora auf Consumer-Windows-Versionen ohne Rechteverwaltung oder mit Administratorenrechten genutzt wird)
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Die in "[MS/IE] Schwachstelle im Microsoft Internet Explorer" beschriebene Schwachstelle läßt sich im Zusammenspiel mit QUALCOMM Eudora ausnutzen, um beliebigen Programmcode auszuführen. Eudora legt Attachments in einem festen Ordner mit dem im Attachment vorgeschlagenen Namen ab. Über einen Umweg kann die alte Schwachstelle im Internet Explorer, die die Ausführung beliebiger Programme ohne Rückfrage gestattet, verwendet werden, um Programmcode, der in einer E-Mail-Nachricht als Attachment vorliegt, ohne Rückfrage auszuführen. Dadurch ist es einem Angreifer leicht möglich, den Account des Eudora-Bentuzers oder gar das ganze System zu kompromittieren.

Gegenmaßnahmen
Der eigentliche Fehler liegt im Internet Explorer; siehe [MS/IE] Neuer Sammelpatch für Internet Explorer.

Vulnerability ID

• CAN-2002-0077

Weitere Artikel zu diesem Thema:

• [MS/IE] Neuer Sammelpatch für Internet Explorer (2002-04-02)
  Microsoft hat einen neuen Sammelpatch für den Microsoft Internet Explorer veröffentlicht, der zwei weitere Sicherheitslücken behebt.
• [MS/IE] Schwachstelle im Microsoft Internet Explorer (2002-03-01)
  Durch eine Schwachstelle im Microsoft Internet Explorer kann eine arglistige Webseite oder HTML-E-Mail ohne Active Scripting oder ActiveX beliebige Programme aufrufen.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/