Verbesserter Schutz vor ActiveX-Lücken

Microsoft hat am 28. Juli zwei Security Bulletins zu Sicherheitslücken im Internet Explorer und in Visual Studio veröffentlicht, ohne wie sonst üblich dem monatlichen Patch-Day-Zyklus zu folgen. Die Beschreibungen der beseitigten Schwachstellen lassen kaum ahnen, warum das so dringend passieren musste. Tatsächlich steckt viel mehr dahinter. Viele anfällige und bereits per Kill-Bit deaktivierte ActiveX-Steuerelemente können doch im IE geladen werden.

Die Security Bulletins MS09-034 (Internet Explorer) und MS09-035 (Visual Studio) sowie die zeitgleich veröffentlichte Sicherheitsempfehlung 973882 sind als Einheit zu betrachten. Sie behandeln gemeinsam ein gravierendes Sicherheitsproblem mit ActiveX, jedes an einer anderen Stelle. Die Tragweite wird deutlicher, wenn man sich vor Augen hält, dass viele Entwickler ActiveX-Steuerelemente mit der anfälligen Active Template Library (ATL) von Visual Studio kompiliert und verbreitet haben. Die müssten nun alle neu übersetzt und verteilt werden, was kaum realistisch ist.

Die Fehler in der ATL führen letztlich dazu, dass andere Sicherheitslücken in ActiveX-Elementen weiter für Angriffe im Web ausgenutzt werden können, obwohl diese ActiveX-Steuerelemente zum Teil schon vor längerer Zeit per Kill-Bit vermeintlich deaktiviert wurden. Ein Angreifer kann ein solches ActiveX-Element ansprechen und laden, indem er einen Umweg über ein anderes ActiveX-Element wählt, das mit der anfälligen ATL erstellt wurde. Dazu zählen zum Beispiel die Flash- und Shockwave-Player von Adobe in der ActiveX-Fassung für den IE.