Konstante Gefahr: URL-Spoofing in Outlook und IE

URL-Spoofing, die Zweite

Eine zweite URL-Spoofing-Lücke, wiederum im Internet Explorer und außerdem in Outlook Express, wurde am 1. April 2004 publik. Wiederum erlaubte der Bug, in der Statusleiste der Anwendungen einen gefälschten URL anzuzeigen.

Unter normalen Umständen kann lediglich Script-Code die in der Statusleiste angezeigten Informationen manipulieren. Auf Grund eines Fehlers im Internet Explorer ließ sich dies jedoch auch ohne Verwendung von Script-Code erreichen. Der Angreifer konnte dies ausnutzen, indem er ein entsprechend präpariertes HTML-Formular in einen Link innerhalb eines HTML-Dokuments einbettete. Statt auf die angezeigte Site führte der gefälschte Link den Benutzer auf eine vom Angreifer vorgegebene Page.

Von der Sicherheitslücke war auch Outlook Express betroffen, das dieselben HTML-Rendering-Funktionen nutzt wie der Internet Explorer. Die Attacke konnte dabei über jede HTML-E-Mail erfolgen.