Wann der Not-Patch für die Internet-Explorer-Versionen 6, 7 und 8 kommen soll, teilte Microsoft nicht mit. Die Software-Firma arbeitet nach eigenen Angaben mit Hochdruck daran, die Sicherheitslücke im Browser zu schließen.

Über sie gelang es Hackern, die vermutlich aus China stammten, sich auf Rechnern von US-Firmen einzuklinken. Nachdem Details über die Schwachstelle in die Öffentlichkeit gelangten, sind »in freier Wildbahn« Exploits aufgetaucht. Mit ihrer Hilfe versuchen Trittbrettfahrer, Schadsoftware auf Rechnern von Internet-Explorer-Nutzern zu platzieren und die Kontrolle über diese Systeme zu übernehmen.

Bis ein Patch vorliegt, rät Microsoft allen IE-Usern, auf die aktuelle und sicherere Version 8 umzusteigen und gleichzeitig die Sicherheitseinstellungen in den Einstellungen des Browsers eauf »hoch« zu stellen.

Sicherheitsratschläge von Microsoft und IT-Fachleuten

Wie das Unternehmen in einer Sicherheitsempfehlung beschreibt, ist zudem auf Rechnern unter den folgenden Windows-Betriebssystemen die so genannte Datenausführungsverhinderung (DEP) im Internet Explorer 8 standardmäßig aktiviert: Windows XP Service Pack 3, Windows Vista Service Pack 1, Windows Vista Service Pack 2 und Windows 7.

Dies schränke die Möglichkeiten ein, dass Angreifer auf einem Rechner eigenen Code ausführen lassen können. Auf dieser Web-Seite hat Microsoft Informationen darüber veröffentlicht, wie sich DEP auch beim IE 7 aktivieren lässt.

Allerdings halten IT-Sicherheitsforscher diese Maßnahmen für nicht ausreichend. Dino Dai Zovi, Autor des Mac Hacker’s Handbook, hat nach eigenen Angaben einen Weg gefunden, DEP bei IE 7 zu umgehen.

Die französische IT-Security-Firma Vupen Security will sogar Code entwickelt haben, der das Ausführen von Programmen beim Internet Explorer 8 erlaubt, und das bei eingeschalteter Data Execution Prevention (DEP).

Immerhin schütze DEP Rechner vor den gegenwärtig vorhandenen Exploits. Es sei jedoch davon auszugehen, dass findige Cyberkriminelle ihren Angriffscode entsprechend modifizieren. Um es diesen Hackern schwerer zu machen, hat die Firma ihre Erkenntnisse nicht öffentlich zugänglich gemacht.

Vupen zufolge sollten Internet-Nutzer, die nicht auf den Einsatz des IE verzichten können, zumindest Active-Scripting im Browser deaktivieren.