Ein beim Sicherheitsportal Packet Storm Security veröffentlichtes Proof-Of-Concept-Exploit zeigt, dass viele aktuelle Webbrowser mit einem kurzen Javascript-Programm lahmgelegt werden können.

Überlanger Titel

Die Probleme treten dann auf, wenn in dem Programm ein überlanger Titel für das Dokument gesetzt wird. Wie das entsprechende Proof-Of-Concept-Exploit zeigt, verursacht dies bei diversen Browsern einen Denial-of-Service. In einigen Fällen wird zudem auch der Neustart des Webbrowsers verhindert oder erschwert.

History löschen

Ein Neustart ist oft erst dann möglich, wenn die History (Verlauf) des Browser gelöscht wird. Noch ist nicht bekannt, ob sich das Programm auch dazu nutzen lässt, um schädlichen Code auf Rechner zu bringen oder einen Buffer-Overflow-Angriff zu starten. Als eine erste Sicherheitsmaßnahme und einen vorläufigen Workaround sehen Experten die Deaktivierung der History-Funktion.

Firefox und Co.

Im Test wurde eine Webseite manipuliert und so die Reaktionen der verschiedenen Browser ermittelt. Die getestete Firefox-Versionen von 1.0.4 bis 1.5 stürzten im Test schon oft bereits beim Aufruf ab. Ein Neustart war unmöglich – erst das Löschen der Datei beendete das Problem. Bei Opera 8.5 ist kein Problem beim Aufruf einer manipulierten Webseite erkennbar gewesen, allerdings konnte der Browser danach nicht mehr gestartet werden. Hier musste die überlange Titelzeile aus der Datei autosave.win entfernt werden. Beim KDE-Browser Konqueror wird das System beim Aufruf kurzzeitig vollständig überlastet. AnwenderInnen können hier aber die Script-Ausführung abbrechen. Keinen Ärger dürften diese Probleme dem Internet Explorer 6 machen.(red)

Von dem Problem sind wahrscheinlich auch andere Browser betroffen. Das Sans-Institute berichtet jedoch auch von Fällen, in denen die Abstürze nicht reproduziert werden konnten. Als vorläufiger Workaround kommt die Deaktivierung der History-Funktion in Frage. (red)