Internet Explorer 7 ist da...und die erste Sicherheitslücke auch

Wow - das jemand so schnell die ersten Sicherheitslücken in Microsofts neuem Internet Explorer 7 finden würde, hätte ich nicht gedacht. Vor allem in einem solchen Kernbereich:

Ursprünglich wollte Microsoft mit seinem neuen Browser die Anwender besser vor Phishing-Angriffen schützen. Dies scheint wohl nicht ganz so gelungen, wie der Sicherheitsdienstleister Secunia in einer Demonstration zeigt. So gelingt es durch einfaches Anähngen bestimmter Zeichen an eine Internetadresse, die angezeigte Adresse in der Adresseleiste eines Pop-up-Fensters zu fälschen: In de Demo zeigt die Adressleiste www.microsoft.com an, obwohl der Inhalt von Secunia stammt.

Ich würde mal sagen: Zurück auf die Schulbank *hehe*

http://www.heise.de/newsticker/meldung/80009

http://secunia.com/internet_explorer_7_popup_address_bar_spoofing_test/

Geil! Aber müsste nicht auch der FireFox Alarm geben und mit zeigen, das ich NICHT bei microsoft.com bin?

Picasso

Ich frag mich grad nur, ob Phishing in FF2 denn standardmässig aktiviert ist.

Die neue Sicherheitslücke für den Internet Explorer hat einiges an Wellen geschlagen. Ein echtes Sicherheitsloch ist es meiner Ansicht nach zwar nicht, da sich diese Lücke sicher schnell schließen lässt. Ein (weiteres) Imageproblem allerdings für Microsoft, die nun kurz nach dem Start erneut ein Bugfix nachschieben müssen, weil die Entwickler und Tester nicht ordentlich genug gearbeitet haben.

Wie entsteht diese Sicherheitslücke? Im Pop-Up wird tatsächlich auf den ersten Blick angezeigt, dass die Seite angeblich von Microsoft stammt.

http://www.meetinx.de/mx/images/news/2006/20061025-secunia01.png

Wer jedoch mit dem Cursor auf den angegebenen Adressbereich klickt stellt fest, dass vor der eigentlich angezeigten URL von Microsoft vorher eine weitere URL angezeigt wird: Nämlich die von Secunia. Mittels einiger Sonderzeichen am Ende der angegebenen URL wird eine weitere URL wohl als normaler Textbaustein angehängt, der dann den Eindruck macht, als ob die Seite von Microsoft oder von jeder anderen Seite stammt:

http://www.meetinx.de/mx/images/news/2006/20061025-secunia02.png

Diese Sicherheitslücke, wie von einigen gemutmaßt, besteht beim Firefox nicht. Firefox zeigt im Gegensatz zum Internet Explorer 7 angegebene URLs grundsätzlich von links nach rechts an und lässt sich durch Sonderzeichen nicht beirren. Wer das gleiche Fenster beim Firefox 2.0 öffnet, sieht folgendes Fenster:

http://www.meetinx.de/mx/images/news/2006/20061025-secunia03.png

Ich weiß selber nicht, ob die von Marco im Forum angesprochene Fishing-Schutz hier schon greift oder ein zusätzlicher Baustein ist, der noch nicht aktiviert worden ist. Ich kann mir aber vorstellen, dass dieser Schutz durchaus schon aktiv ist. Firefox zeigt nämlich, im Gegensatz zum Internet Explorer 7 direkt die Adresse von http://www.secunia.com an ohne weitere Anhänge. Wahrscheinlich erkennt Firefox die Verwendung von Sonderzeichen und löst daher das Pop-Up Fenster so auf, dass nur die tatsächlich verwendete URL angezeigt wird.