Der Nachfolger von Outlook Express knüpft nahtlos an dessen zweifelhaften Ruf in Sicherheitsfragen an. Bereits wenige Monate nach der offiziellen Freigabe wurde nun das erste bedenkliche Sicherheitsproblem aufgedeckt: Unter bestimmten Umständen kann ein einfacher Klick auf eine URL dazu führen, dass auf dem lokalen Rechner ein Programm gestartet wird.
Ein Hacker mit dem Pseudonym Kingcope berichtete auf einer Sicherheits-Mailingliste, dass es dazu genügt, in eine Mail einen Link mit einem Verweis auf ein lokales Programm einzubetten. Wenn ein Ordner mit dem gleichen Namen wie das ausführbare Programm existiert, führt Vista Mail bei einem Klick auf den Link das Programm ohne Nachfrage aus. In einem kurzen Eigenversuch konnte heise Security diese Darstellung bestätigen: Nachdem in
C:\Windows\System32\ ein Ordner namens calc angelegt wurde, startete ein Klick auf den Link zu
c:/windows/system32/calc? den Taschenrechner ohne weitere Nachfrage.
Für ein konkretes Angriffsszenario taugt diese Lücke bislang kaum; die konkrete Gefahr ist eher gering. Kingcope führt zwar zwei Windows-Programme auf, bei denen das erforderliche Verzeichnis bereits vorhanden ist: winrm und migwiz. Er räumt aber auch ein, dass er den Programmen keine Parameter übergeben kann, was die Möglichkeiten für gezielte Aktivitäten sehr stark reduziert. Doch allein die Tatsache, dass unter bestimmten Umständen ein Klick auf eine einfache URL in einer Mail genügen kann, um ohne weitere Nachfrage ein lokales Programm zu starten, hinterlässt ein sehr ungutes Gefühl. Schließlich haben viele gefährliche Lücken in Outlook Express und Internet Explorer anfangs ähnlich unscheinbar ausgesehen. Und Microsoft muss sich nun an seinen vollmundigen Versprechungen zur Sicherheit von Vista messen lassen.
Siehe dazu auch:
* Microsoft Windows Vista - Windows Mail Client Side Code Execution Vulnerability Sicherheitsnotiz von Kincope
Quelle und Links :
http://www.heise.de/security/news/meldung/87342
