URI-Lücke sorgt für Verwirrung

Laut einem Blogeintrag in Microsofts Security Response Center (MSRC) bestehen zwei Probleme, die eigentlich nichts miteinander zu tun haben, aber gemeinhin in einen Topf geworfen werden.

Das erste Problem betrifft die Art und Weise, wie Anwendungen Protokolle behandeln, für die sie sich nicht zuständig fühlen. Microsoft ist weiterhin der Ansicht, dass an Windows nichts geändert werden muss. Die Programmierer der jeweiligen Anwendungen sollen sicherstellen, dass nur gültige Adressen an das System weitergeleitet werden.

Gleichzeitig existiert aber offenbar tatsächlich eine Sicherheitslücke in Windows XP. Links (URIs) mit einem Prozentzeichen werden nicht ausreichend auf ihre Gültigkeit kontrolliert, wodurch beispielsweise ein "mailto:"-Link eine Anwendung starten kann. Hier wollen die Redmonder eine Änderung an Windows XP vornehmen. Das Problem tritt auch bei Microsoft-Programmen wie Outlook Express auf. Im Moment ist es so, dass Windows XP mit IE 6 vor der Gefahr geschützt ist, nicht aber Windows XP mit IE 7.