[HaBo]

Wie die Internet-Security-Firma Online Solutions Oy mit-
teilt, wurde durch Sie eine schwere Sicherheitslücke im
IE von M$ entdeckt. Diese Sicherheitslücke erlaubt
einem Jedem, der auf eine Homepage das Sicherheits-
zerfitikat von M$ dem IE vorgaukelt und dann eine Datei
zu Download in folgender Form anbietet:

z.b.
readme.txt%00crusher.exe

dem User mit Seinem IE den Ansein zu vermitteln, das
sich hinter der Download-Datei nur die readme.txt
verbirgt! Die crusher.exe taucht nicht auf!
Desweiteren wird durch das vorgegaukelte Sicherheits-
zerfitikat der Download ohne weitere Nachfrage sofort
ausgeführt. Die Sicherheitslücke ist M$ seit Anfang
Dezember bekannt. M$ bat sich von der Inet-Security-
Firma ca. 30 Tage zur Bearbeitung aus! Doch von der
Seite von M$ geschah in dieser Zeit nichts, angeblich
aufgrund der Komplexität des Problemes! Danach sah
sich die Firma Online Solutions Oy gezwungen, dies
zu veröffentlichen!


hier ein paar Links zum Thema:

News-Artikel zum Bug (englisch

News-Artikel von der Internet-Security-Firma (englisch)

Der Patch gegen den Bug (direkt von M$)
--> der Link zum Download des Patches ist auch
kein Allheilmittel, da nach Angaben der Firma, auch
dann noch die Verwundbarkeit des Systemes besteht!


MfG Rushjo

P.S. Die Patches sind jedoch nur für den IE 5.5
Servicepack2 und IE 6.0!!!!