Neue Sicherheitslücke im Internet Explorer 6.0

[Rushjo]

Wie heise.de unter Berufung auf ein Posting in der Mailinglist Bugtraq von SecurityFocus berichtet, gibt es für den Internet Explorer 6.0 nun ein aktuellen PoC (= Proof of Concept) Exploit, welcher im Gegensatz zu anderen direkt auf den Stack zu greift und keinerlich Tricks mit Hilfe zur Zonenumgehung beim IE machen muss. Die Sicherheitslücke befindet sich hier bei zu lange Namen des "IFRAME"- und "FRAME"-Tags. Damit läßt sich dann direkt "Code" ausführen. Hierfür reicht es, wenn der User sich eine entsprechend manipulierte Seite ansieht. Anbei wird auch gleich ein "Test-Exploit" mitgeliefert, der eine Shell auf Port 28876 mit den Rechten des jeweils angemeldeten Users öffnet. Der Author des Posting auf "bugtraq" selber gibt an, dass das Original-Posting garnicht von Ihm stammt, sondern schon vor über einer Woche von einem anderen User an "bugtraq" geschickt wurde. Dort wurde es aber wegen "illegal" Content-Type of text/html" abgelehnt, sodass der jetzige Author es solange änderte, bis die Liste es dann doch noch akzeptierte.

Betroffen sind laut heise.de lediglich Version des Internet Explorers unter Win2k (alle ServicePacks) und WinXP (ausser SP2). Auf der Mailinglist "full disclosure" wurde dieses Posting dagegen vom Original-Author gepostet und weitergeleitet. In der Reaktion der Leser finden sich keinerlei Hinweise auf eine "unanfälligkeit" von WindowsXP SP2.

Tja, das ist doch mal wieder ein schicker Exploit.

MfG Rushjo

P.S. Nebenwirklung des Exploits: Er fordert ca. 700MB RAM an, um sicher zu gehen, das sich die benötigten Daten wirklich an der Adresse: "0x0D0D0D0D" befinden.

[1] Quelle "Lücke im Internet Explorer ermöglicht vollen Systemzugriff", heise.de (deutsch)
[2] Quelle "SecurityFocus Mailinglist bugtraq", securityfocus.com (english)
[3] Quelle "Posting auf Mailinglist Full Disclosure", lists.netsys.com (english)

 

[SUID:root]

Tatsächlich.
Port ist nach Ausführen der Website offen

Allerdings nur solang die Site geöffnet bleibt; aber das sollte einem Angreifer genügend Zeit geben.

Übel.

Gruss

root

 

[Rushjo]

@SUID:root

Die Einschränkung, "nur so lange wie das Fenster" offen ist, ist ein scheinbarer Schutz, da man als "böser Mensch", ja garkeine Shell über diese Methode will, sondern einfach eine Datei von einem beliebigen Ort nachladen läßt und die dann mit den entsprechenden Rechten des Users (und das ist bei Windows meistens Administrator) läuft. Dies ist mal wieder ein gefundenes Fressen für alle Spam-/Viren-Verteiler und Co.

[NACHTRAG]

@all

Hier noch ein aktueller Nachtrag zum Bericht. Hier wird berichtet, wie der Bug gefunden wurde und das sich die "Experten" immernoch streiten, ob der Bug auch bei WindowsXP mit SP2 funktioniert. Der Logik von heise.de, das der Exploit nur aufgrund des "Stack-Schutz" von SP2 nicht erfolgreich sein kann, auch wenn der Bug noch vorhanden ist, kann ich ganz folgen, da es bereits "Codebeispiele" gibt, wie man "Stack-Schutz" erfolgreich umgehen.

[/NACHTRAG]

MfG Rushjo