Alles zum Internet Explorer!!! Nr.7 - auch nicht fehlerfrei?

[Nager]

Drag&Drop-Schwachstelle im Internet Explorer wird bereits ausgenutzt

Die vergangene Woche von http-equiv bereitgestellte Demonstration der Drag&Drop-Schwachstelle des Internet Explorer war noch eine Baustelle: Sie lief relativ wackelig und offenbarte beispielsweise beim Rechtsklick auf die Dropzone (zwischen den roten Linien) den darunterliegenden Autostart-Ordner. Durch die notwendige Benutzerinteraktion des Ziehens und Fallenlassens eines dargestellten Objektes war die Tragweite des Problems zunächst schwer einzuschätzen. Auch Microsoft erschien das Problem eher konstruiert; der Konzern schätzte das Risiko als gering ein: "Given the significant amount of user action required to execute an attack, Microsoft does not consider this to be a high risk for customers."

Nach Angaben des Internet Storm Centers scheinen aber erste Webseiten die Lücke bereits auszunutzen, um Anwendern Dateien unterzujubeln, die beim Neustart ausgeführt werden. Zudem ist auf Bugtraq der Link zu einer Web-Demo erschienen, der man verdächtige Manipulationen nicht ansieht. Hier genügt es, den rechten Scroll-Balken mit dem Cursor nach unten zu verschieben, um die Datei booom[1].exe in den Autostart-Ordner geschoben zu bekommen. Der Trick besteht nach Angaben des Autors der Seite darin, die Dropzone als 5x5 Pixel-Feld zu definieren und dem Cursor folgen zu lassen. Zwar ist auch hier eine Benutzerinteraktion erforderlich, aber das Ziehen des Scrollbars, um an das Ende einer Webseite zu gelangen, ist wohl keine als besonders unüblich erscheinende Aktion.

Die neue Demonstration funktioniert sowohl unter Windows XP SP1 als auch mit SP2 und verwendet JavaScript. Der Autor gibt zwar an, dass zum Beheben des Problems unter SP2 das Deaktivieren der neuen Option "Binär- und Skriptverhalten" ausreichen würde, Tests in der heise-Security-Redaktion bestätigten dies aber nicht. Abhilfe schafft derzeit nur das Abschalten von ActiveScripting oder das Benutzen eines alternativen Browsers.

Siehe dazu auch:
What A Drag! -revisited von mikx

--> http://www.heise.de/newsticker/meldung/50363

[Reiner]

Hatte dieser Tage mit mal die finale deutsche Version des Internet Explorers 7 zu Testzwecken aufgespielt und dabei ein seltsamer Programmaufhänger erlebt:

Gebe ich in der Browseradresszeile auch nur einen Buchstaben "w ... für www.xyz.de" ein, schwupps hat sich der IE 7 schon komplett aufgehängt. Sogar ein Webseitenadresse reinkopiert und "Enter" = game over!

Man könnte ja meinen das da was nicht korrekt installiert ist, darum das Ganze deinstalliert - neugestartet - neu installiert.

Gleiches Fehlverhalten.

Und nicht das man meint es liegt am PC oder Betriebssystem (WinXP SP2 mit allen Sicherheits-Updates), denn sowohl am älteren Desktop als auch am Notebook gleiches (!) Fehlverhalten.

Irgendeine Idee oder Tipp?

[Elko]

ich glaube es gibt schon updats fuer den Ie 7.

Bin der Meinung so was gelesen zu haben.

Konnte ihn leider nicht testen da wir gerade mit der Firma umziehn und ich den Ie so und so nicht nutze.

[Reiner]

Kann mir mal jemand diesen Bug von IE 7 (dt.) erklären?

WinXP SP2 mit allen Updates; IE 7 installiert. Danach geht alles mit dem Browser ... nur eins nicht:

Texteingabe in der Adresszeile des Browsers bewirkt jedoch einen sofortigen Aufhänger des Programms.
Benutze ich die Favoriten lassen sich Seiten ganz normal starten oder aufrufen. Wage ich auch nur manuell in die Ardresszeile etwas zu tippen ... hängt IE 7 sofort beim ersten Buchstaben, sogar ein reinkopieren eine Webseitenadresse bringt einen sofortigen Aufhänger.

Tsss.

Gut das es Firefox 2 gibt.

[Teylen]

Vielleicht hilft ein leeren der History, des Verlauf und Cache?
Ansonsten ist vielleicht das verwendete Controll ueber ueber den digitalen Jordan gewandert .. funktioniert die Addressleiste im Explorer noch?

[Reiner]

Vielleicht hilft ein leeren der History, des Verlauf und Cache?
Ansonsten ist vielleicht das verwendete Controll ueber ueber den digitalen Jordan gewandert .. funktioniert die Addressleiste im Explorer noch?

Nun, ersteres hatte ich getan ... auch die IE (Sicherheits-) Einstellungen überprüft und nix "verdächtiges" festgestellt.

Dazu: Ad-aware, Defender, AntiVir ... sogar Regedit und sonstige Tools zur "Reinigung" und "Fehlerprüfung" sind alle durch.

Um die Adressleiste und die Eingabe einer Webadresse geht es ja. Mit IE 7 ist ein Klick in die Maske "tödlich", spricht er hängt sich auf und akzeptiert keine weitere Eingabe ... auch nach Wartezeit nicht mehr.

Deinstalliere ich den Explorer 7 und starte neu mit dem alten IE 6, funktioniert wieder alles wie gewohnt.

Mmmh

Einzige Idee derzeit, da ich Vista Stiles mit XP verwende ist noch das:
http://www.chip.de/downloads/c1_downloads_13005628.html
(... nur das rückgängig machen wäre heavy. Zumal es ja kein logischer Grund darstellen dürfte als Ursache.)

(Nun, verwende eh dauerhaft und lieber Firefox, doch wenigstens ausprobieren wollte ich das Teil.)

[Elko]

@reiner

wuste doch das wir das schon hatten.
lag noch vorne.
alles zum IE

es gibt schon updates fuer den IE7

Wichtige Updates
Microsoft Windows XP



Sicherheitsupdate für Internet Explorer 7 unter Windows XP (KB929969)
Downloadgröße: 766 KB , Weniger als 1 Minute
Es wurde eine Sicherheitslücke in der VML-Verarbeitung (Vector Markup Language) entdeckt, durch die ein Angreifer in ein Microsoft Windows-Computersystem eindringen und die Steuerung übernehmen könnte. Durch die Installation dieses Updates von Microsoft können Sie zum Schutz Ihres Computers beitragen. Nach der Installation müssen Sie den Computer gegebenenfalls neu starten. Weitere Informationen...

vieleicht hilft es ja.
Hm ich hab ihn install. und er funz ohne Probleme auch ohne update.

Hast du eigendlich vollwertige Versionen oder bist du faelschlicher Weise ein Opfer einer Softwarefaelschung?

[Reiner]

... oh, thanks für den Hinweis und Link, den hatte ich gesucht und nicht gefunden (für's zusammenfassen).

Aber zum Problem: Natürlich sind alle Versionen sauber registriert und offiziell. Das schärfste ist, dass es auch auf dem älteren WinXP-Rechner (AMD 450 Mhz) mir genauso ergeht.

Das heisst, es muss irgendwas mit einer Software oder Einstellung zu tun haben, die identisch ist.

[Elko]

dann buegel doch mal das update rueber, und alle anderen Sicherheitsup. auch wenn nicht schon geschen.
Habs auch mal auf meiner Exarbeit getestet null Problem.

?????

Das mit der Softwarfaelschung haett ja auch bei Orginalen sein koennen. Hatte ich auch schon.
Da hat Bill sich entschuldigt.