Microsoft Security Bulletin MS05-014

Für ein Angriffsszenario im Web muss ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Ein Angreifer könnte auch versuchen, eine vorhandene Website so zu manipulieren, dass eine Seite mit schädlichem Inhalt angezeigt wird. Ein Angreifer kann Benutzer zum Besuch einer Website nicht zwingen. Er muss sie zu einem Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, auf einen Link zur Site des Angreifers oder zu einer vom Angreifer manipulierten Website zu klicken.

Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerberechtigungen wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit geringeren Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerberechtigungen arbeiten.

In Microsoft Outlook Express 6.0, Outlook 2000, Outlook 2002 und Outlook 2003 werden HTML-E-Mail-Nachrichten standardmäßig in der Zone für eingeschränkte Sites geöffnet. Outlook Express 5.5 Service Pack 2 öffnet darüber hinaus HTML E-Mail-Nachrichten in der Zone für eingeschränkte Sites wenn das Microsoft Security Bulletin MS04-018 installiert wurde. Die Zone für eingeschränkte Sites verringert Angriffe, die versuchen, diese Sicherheitsanfälligkeit auszunutzen.

Das Risiko eines Angriffs durch HTML-E-Mails kann erheblich reduziert werden, wenn die folgenden Bedingungen ausnahmslos erfüllt sind:

Internet Explorer mit Windows Server 2003 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Dieser Modus verringert die Sicherheitsanfälligkeit. Weitere Informationen zur verstärkten Sicherheitskonfiguration von Internet Explorer finden Sie im Abschnitt „Häufig gestellte Fragen (FAQs)“.

Deaktivieren der Option „Ziehen und Ablegen oder Kopieren und Einfügen von Dateien“ in Internet Explorer

Deaktivieren Sie auf folgende Weise die Option „Ziehen und Ablegen oder Kopieren und Einfügen von Dateien“ in Internet Explorer:

Legen Sie die Einstellungen der Internet- und der lokalen Intranetzone auf „Hoch“ fest, um eine Bestätigung vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in diesen Zonen zu erhalten.

Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting eine Bestätigung verlangt wird. Setzen Sie die Sicherheitseinstellungen Ihres Browsers auf Hoch.

So erhöhen Sie die Stufe der Browser-Sicherheit in Microsoft Internet Explorer:

Hinweis Wenn kein Gleitregler zu sehen ist, klicken Sie auf Standardstufe und ziehen Sie den Regler dann auf Hoch.

Hinweis: Bei der Sicherheitsstufe Hoch funktionieren einige Websites nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website selbst bei hoher Sicherheitsstufe einwandfrei.

Sie können Ihre Einstellungen auch so ändern, dass Sie nur vor der Ausführung von ActiveX-Steuerelementen eine Bestätigungsaufforderung erhalten. Führen Sie zu diesem Zweck die folgenden Schritte durch:

Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von ActiveX-Steuerelementen ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen ActiveX ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mit Hilfe von ActiveX-Steuerelementen Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von ActiveX-Steuerelementen erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um ActiveX-Steuerelemente auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht bei all diesen Sites zur Bestätigung aufgefordert werden möchten, können Sie die Problemumgehung „Schränken Sie die Websites auf ausschließlich vertrauenswürdige Websites ein“ nutzen.

Schränken Sie die Websites auf ausschließlich vertrauenswürdige Websites ein.

Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

Führen Sie zu diesem Zweck die folgenden Schritte durch:

Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Site „*.windowsupdate.microsoft.com“ (ohne Anführungszeichen). Auf dieser Site erhalten Sie das Update. Für die Installation des Updates ist die Verwendung eines ActiveX-Steuerelements erforderlich.

Lesen Sie E-Mail-Nachrichten im Nur-Text-Format, wenn Sie Outlook 2002 oder höher oder Outlook Express 6 SP1 oder höher verwenden, um sich vor Angriffen über HTML-E-Mail-Nachrichten zu schützen.

Benutzer von Microsoft Outlook 2002, die Office XP Service Pack 1 oder höher installiert haben, und Benutzer von Microsoft Outlook Express 6, die Internet Explorer 6 Service Pack 1 oder höher installiert haben, können diese Einstellung aktivieren und alle nicht digital signierten oder nicht verschlüsselten E-Mail-Nachrichten als Nur-Text anzeigen.

Digital signierte oder verschlüsselte E-Mail-Nachrichten sind von dieser Einstellung nicht betroffen und können im Originalformat gelesen werden. Weitere Informationen zum Aktivieren dieser Einstellung in Outlook 2002 finden Sie im Microsoft Knowledge Base-Artikel 307594.

Weitere Informationen zu dieser Einstellung in Outlook Express 6 finden Sie im Microsoft Knowledge Base-Artikel 291387.

Auswirkung der Problemumgehung: E-Mail-Nachrichten, die im Nur-Text-Format angezeigt werden, können keine Bilder, speziellen Schriftarten, Animationen oder andere umfassende Inhalte enthalten. Darüber hinaus gilt:

Die Sicherheitsstufe für die Internetzone wird auf Hoch eingestellt. Diese Einstellung deaktiviert Skripts, ActiveX-Steuerelemente, Microsoft JVM (Microsoft Java Virtual Machine), HTML-Inhalte sowie Dateidownloads.

Die automatische Erkennung von Intranetsites wird deaktiviert. Diese Einstellung weist alle Intranetwebsites und UNC-Pfade (Universal Naming Convention) der Internetzone zu, die nicht ausdrücklich in der lokalen Intranetzone aufgelistet werden.

Die Installation bei Bedarf und Browsererweiterungen, die nicht von Microsoft stammen, werden deaktiviert. Diese Einstellung verhindert, dass Webseiten automatisch Komponenten installieren können, und unterbindet den Einsatz von Erweiterungen, die nicht von Microsoft stammen.

Multimediainhalte werden deaktiviert. Diese Einstellung verhindert das Verwenden von Musik, Animationen und Videoclips.

Für ein Angriffsszenario im Web muss ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Ein Angreifer könnte auch versuchen, eine vorhandene Website so zu manipulieren, dass eine Seite mit schädlichem Inhalt angezeigt wird. Ein Angreifer kann Benutzer zum Besuch einer Website nicht zwingen. Er muss sie zu einem Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, auf einen Link zur Site des Angreifers oder zu einer vom Angreifer manipulierten Website zu klicken.

Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerberechtigungen wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit geringeren Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerberechtigungen arbeiten.

In Microsoft Outlook Express 6.0, Outlook 2000, Outlook 2002 und Outlook 2003 werden HTML-E-Mail-Nachrichten standardmäßig in der Zone für eingeschränkte Sites geöffnet. Outlook Express 5.5 Service Pack 2 öffnet darüber hinaus HTML E-Mail-Nachrichten in der Zone für eingeschränkte Sites wenn das Microsoft Security Bulletin MS04-018 installiert wurde. Die Zone für eingeschränkte Sites verringert Angriffe, die versuchen, diese Sicherheitsanfälligkeit auszunutzen.

Das Risiko eines Angriffs durch HTML-E-Mails kann erheblich reduziert werden, wenn die folgenden Bedingungen ausnahmslos erfüllt sind:

Internet Explorer mit Windows Server 2003 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Dieser Modus verringert die Sicherheitsanfälligkeit. Weitere Informationen zur verstärkten Sicherheitskonfiguration von Internet Explorer finden Sie im Abschnitt „Häufig gestellte Fragen (FAQs)“ für dieses Sicherheitsupdate.

In Windows XP Service Pack 2 wurde eine Sicherheitsoptimierung vorgenommen – der sogenannte Lockdown der lokalen Zone. Dadurch wird diese Sicherheitsanfälligkeit verringert. Weitere Informationen zum Lockdown der lokalen Zone finden Sie im Abschnitt „Häufig gestellte Fragen (FAQs)“ für dieses Sicherheitsupdate.

Schränken Sie die Websites auf ausschließlich vertrauenswürdige Websites ein.

Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

Führen Sie zu diesem Zweck die folgenden Schritte durch:

Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Site „*.windowsupdate.microsoft.com“ (ohne Anführungszeichen). Auf dieser Site erhalten Sie das Update. Für die Installation des Updates ist die Verwendung eines ActiveX-Steuerelements erforderlich.

Installieren Sie das im Microsoft Security Bulletin MS04-018 beschriebene Update, wenn Sie Outlook Express 5.5 SP2 verwenden.

Outlook Express 5.5 Service Pack 2 öffnet darüber hinaus HTML E-Mail-Nachrichten in der Zone für eingeschränkte Sites wenn das Microsoft Security Bulletin MS04-018 installiert wurde.

Benutzer, die eines dieser Produkte verwenden, gehen nur dann das Risiko eines Angriffs durch eine E-Mail-Nachricht ein, mit der versucht wird, diese Sicherheitsanfälligkeiten auszunutzen, wenn sie in der E-Mail-Nachricht auf einen entsprechenden Link klicken.

Lesen Sie E-Mail-Nachrichten im Nur-Text-Format, wenn Sie Outlook 2002 oder höher oder Outlook Express 6 SP1 oder höher verwenden, um sich vor Angriffen über HTML-E-Mail-Nachrichten zu schützen.

Benutzer von Microsoft Outlook 2002, die Office XP Service Pack 1 oder höher installiert haben, und Benutzer von Microsoft Outlook Express 6, die Internet Explorer 6 Service Pack 1 oder höher installiert haben, können diese Einstellung aktivieren und alle nicht digital signierten oder nicht verschlüsselten E-Mail-Nachrichten als Nur-Text anzeigen.

Digital signierte oder verschlüsselte E-Mail-Nachrichten sind von dieser Einstellung nicht betroffen und können im Originalformat gelesen werden. Weitere Informationen zum Aktivieren dieser Einstellung in Outlook 2002 finden Sie im Microsoft Knowledge Base-Artikel 307594.

Weitere Informationen zu dieser Einstellung in Outlook Express 6 finden Sie im Microsoft Knowledge Base-Artikel 291387.

Auswirkung der Problemumgehung: E-Mail-Nachrichten, die im Nur-Text-Format angezeigt werden, können keine Bilder, speziellen Schriftarten, Animationen oder andere umfassende Inhalte enthalten. Darüber hinaus gilt:

Für ein Angriffsszenario im Web muss ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Zudem könnte ein Angreifer versuchen, eine Website derart zu manipulieren, dass diese eine Webseite mit schädlichem Inhalt anzeigt. Ein Angreifer kann Benutzer zum Besuch einer Website nicht zwingen. Er muss sie zu einem Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, auf einen Link zur Site des Angreifers oder zu einer vom Angreifer manipulierten Website zu klicken.

Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerberechtigungen wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit geringeren Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerberechtigungen arbeiten.

Outlook Express 6.0, Outlook 2002 und Outlook 2003 öffnen HTML-E-Mail-Nachrichten standardmäßig in der Zone für eingeschränkte Sites. Außerdem öffnet Outlook 2000 HTML-E-Mail-Nachrichten in der Zone für eingeschränkte Sites, wenn das Outlook-E-Mail-Sicherheitsupdate installiert wurde. Outlook Express 5.5 Service Pack 2 öffnet darüber hinaus HTML-E-Mail-Nachrichten in der Zone für eingeschränkte Sites, wenn das Microsoft Security Bulletin MS04-018 installiert wurde. Die Zone für eingeschränkte Sites verringert Angriffe, die versuchen, diese Sicherheitsanfälligkeit auszunutzen.

Das Risiko eines Angriffs durch HTML-E-Mails kann erheblich reduziert werden, wenn die folgenden Bedingungen ausnahmslos erfüllt sind:

Die Sicherheitsanfälligkeit kann nicht automatisch über E-Mail ausgenutzt werden. Ein Benutzer muss eine zusammen mit einer E-Mail-Nachricht gesendete Dateianlage öffnen, damit ein Angriff erfolgreich ist.

Legen Sie die Einstellungen der Internet- und der lokalen Intranetzone auf „Hoch“ fest, um eine Bestätigung vor der Ausführung von Active Scripting in diesen Zonen zu erhalten.

Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass eine Bestätigung verlangt wird, bevor Active Scripting ausgeführt wird. Setzen Sie die Sicherheitseinstellungen Ihres Browsers auf Hoch.

So erhöhen Sie die Stufe der Browser-Sicherheit in Microsoft Internet Explorer:

Hinweis Wenn kein Gleitregler zu sehen ist, klicken Sie auf Standardstufe und ziehen Sie den Regler dann auf Hoch.

Hinweis: Bei der Sicherheitsstufe Hoch funktionieren einige Websites nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website selbst bei hoher Sicherheitsstufe einwandfrei.

Sie können Ihre Einstellungen auch so ändern, dass Sie nur vor der Ausführung von Active Scripting eine Bestätigungsaufforderung erhalten. Führen Sie zu diesem Zweck die folgenden Schritte durch:

Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Die Bestätigung vor der Ausführung von Active Scripting erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um Active Scripting auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht bei all diesen Sites zur Bestätigung aufgefordert werden möchten, können Sie die Problemumgehung „Schränken Sie die Websites auf ausschließlich vertrauenswürdige Websites ein“ nutzen.

Schränken Sie die Websites auf ausschließlich vertrauenswürdige Websites ein.

Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

Führen Sie zu diesem Zweck die folgenden Schritte durch:

Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Site „*.windowsupdate.microsoft.com“ (ohne Anführungszeichen). Auf dieser Site erhalten Sie das Update. Für die Installation des Updates ist die Verwendung eines ActiveX-Steuerelements erforderlich.

Installieren Sie das im Microsoft Security Bulletin MS04-018 beschriebene Update, wenn Sie Outlook Express 5.5 SP2 verwenden.

Outlook Express 5.5 Service Pack 2 öffnet darüber hinaus HTML E-Mail-Nachrichten in der Zone für eingeschränkte Sites wenn das Microsoft Security Bulletin MS04-018 installiert wurde.

Benutzer, die eines dieser Produkte verwenden, gehen nur dann das Risiko eines Angriffs durch eine E-Mail-Nachricht ein, mit der versucht wird, diese Sicherheitsanfälligkeiten auszunutzen, wenn sie in der E-Mail-Nachricht auf einen entsprechenden Link klicken.

Lesen Sie E-Mail-Nachrichten im Nur-Text-Format, wenn Sie Outlook 2002 oder höher oder Outlook Express 6 SP1 oder höher verwenden, um sich vor Angriffen über HTML-E-Mail-Nachrichten zu schützen.

Benutzer von Microsoft Outlook 2002, die Office XP Service Pack 1 oder höher installiert haben, und Benutzer von Microsoft Outlook Express 6, die Internet Explorer 6 Service Pack 1 oder höher installiert haben, können diese Einstellung aktivieren und alle nicht digital signierten oder nicht verschlüsselten E-Mail-Nachrichten als Nur-Text anzeigen.

Digital signierte oder verschlüsselte E-Mail-Nachrichten sind von dieser Einstellung nicht betroffen und können im Originalformat gelesen werden. Weitere Informationen zum Aktivieren dieser Einstellung in Outlook 2002 finden Sie im Microsoft Knowledge Base-Artikel 307594.

Weitere Informationen zu dieser Einstellung in Outlook Express 6 finden Sie im Microsoft Knowledge Base-Artikel 291387.

Auswirkung der Problemumgehung: E-Mail-Nachrichten, die im Nur-Text-Format angezeigt werden, können keine Bilder, speziellen Schriftarten, Animationen oder andere umfassende Inhalte enthalten. Darüber hinaus gilt:

Für ein Angriffsszenario im Web muss ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Ein Angreifer könnte auch versuchen, eine vorhandene Website so zu manipulieren, dass eine Seite mit schädlichem Inhalt angezeigt wird. Ein Angreifer kann Benutzer zum Besuch einer Website nicht zwingen. Er muss sie zu einem Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, auf einen Link zur Site des Angreifers oder zu einer vom Angreifer manipulierten Website zu klicken.

Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerberechtigungen wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit geringeren Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerberechtigungen arbeiten.

In Microsoft Outlook Express 6.0, Outlook 2000, Outlook 2002 und Outlook 2003 werden HTML-E-Mail-Nachrichten standardmäßig in der Zone für eingeschränkte Sites geöffnet. Outlook Express 5.5 Service Pack 2 öffnet darüber hinaus HTML E-Mail-Nachrichten in der Zone für eingeschränkte Sites wenn das Microsoft Security Bulletin MS04-018 installiert wurde. Die Zone für eingeschränkte Sites verringert Angriffe, die versuchen, diese Sicherheitsanfälligkeit auszunutzen.

Das Risiko eines Angriffs durch HTML-E-Mails kann erheblich reduziert werden, wenn die folgenden Bedingungen ausnahmslos erfüllt sind:

Internet Explorer mit Windows Server 2003 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Dieser Modus verringert die Sicherheitsanfälligkeit. Weitere Informationen zur verstärkten Sicherheitskonfiguration von Internet Explorer finden Sie im Abschnitt „Häufig gestellte Fragen (FAQs)“ für dieses Sicherheitsupdate.

In Windows XP Service Pack 2 wurde eine Sicherheitsoptimierung vorgenommen – der sogenannte Lockdown der lokalen Zone. Dadurch wird diese Sicherheitsanfälligkeit verringert. Weitere Informationen zum Lockdown der lokalen Zone finden Sie im Abschnitt „Häufig gestellte Fragen (FAQs)“ für dieses Sicherheitsupdate.

Mit Windows XP Service Pack 2 wurde ein neuer Sicherheitskontext für alle skriptfähigen Objekte eingeführt, sodass Zugriff auf zwischengespeicherte Objekte (außer für ActiveX-Steuerelemente) blockiert ist. Neben dem Blockieren des Zugriffs bei einer domänenübergreifenden Navigation wurde auch der Zugriff bei der Navigation innerhalb der gleichen Domäne blockiert. In diesem Kontext wird eine Domäne als ein vollqualifizierter Domänenname oder FQDN definiert. Eine Referenz zu einem Objekt ist nicht mehr zugänglich, nachdem der Kontext aufgrund der Navigation geändert wurde. Weitere Informationen zum Zwischenspeichern von Objekten im Internet Explorer unter Windows XP Service Pack 2 finden Sie in der Produktdokumentation.

Legen Sie die Einstellungen der Internet- und der lokalen Intranetzone auf „Hoch“ fest, um eine Bestätigung vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in diesen Zonen zu erhalten.

Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting eine Bestätigung verlangt wird. Setzen Sie die Sicherheitseinstellungen Ihres Browsers auf Hoch.

So erhöhen Sie die Stufe der Browser-Sicherheit in Microsoft Internet Explorer:

Hinweis Wenn kein Gleitregler zu sehen ist, klicken Sie auf Standardstufe und ziehen Sie den Regler dann auf Hoch.

Hinweis: Bei der Sicherheitsstufe Hoch funktionieren einige Websites nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website selbst bei hoher Sicherheitsstufe einwandfrei.

Sie können Ihre Einstellungen auch so ändern, dass Sie nur vor der Ausführung von ActiveX-Steuerelementen eine Bestätigungsaufforderung erhalten. Führen Sie zu diesem Zweck die folgenden Schritte durch:

Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von ActiveX-Steuerelementen ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen ActiveX ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mit Hilfe von ActiveX-Steuerelementen Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von ActiveX-Steuerelementen erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um ActiveX-Steuerelemente auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht bei all diesen Sites zur Bestätigung aufgefordert werden möchten, können Sie die Problemumgehung „Schränken Sie die Websites auf ausschließlich vertrauenswürdige Websites ein“ nutzen.

Schränken Sie die Websites auf ausschließlich vertrauenswürdige Websites ein.

Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

Führen Sie zu diesem Zweck die folgenden Schritte durch:

Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Site „*.windowsupdate.microsoft.com“ (ohne Anführungszeichen). Auf dieser Site erhalten Sie das Update. Für die Installation des Updates ist die Verwendung eines ActiveX-Steuerelements erforderlich.

Installieren Sie das im Microsoft Security Bulletin MS04-018 beschriebene Update, wenn Sie Outlook Express 5.5 SP2 verwenden.

Outlook Express 5.5 Service Pack 2 öffnet darüber hinaus HTML E-Mail-Nachrichten in der Zone für eingeschränkte Sites wenn das Microsoft Security Bulletin MS04-018 installiert wurde.

Benutzer, die eines dieser Produkte verwenden, gehen nur dann das Risiko eines Angriffs über eine E-Mail-Nachricht ein, mit der versucht wird, diese Sicherheitsanfälligkeiten auszunutzen, wenn sie in der E-Mail-Nachricht auf einen entsprechenden Link klicken.

Lesen Sie E-Mail-Nachrichten im Nur-Text-Format, wenn Sie Outlook 2002 oder höher oder Outlook Express 6 SP1 oder höher verwenden, um sich vor Angriffen über HTML-E-Mail-Nachrichten zu schützen.

Benutzer von Outlook 2002, die Office XP Service Pack 1 oder höher installiert haben, und Benutzer von Outlook Express 6, die Internet Explorer 6 Service Pack 1 oder höher installiert haben, können diese Einstellung aktivieren und alle nicht digital signierten oder nicht verschlüsselten E-Mail-Nachrichten als Nur-Text anzeigen.

Digital signierte oder verschlüsselte E-Mail-Nachrichten sind von dieser Einstellung nicht betroffen und können im Originalformat gelesen werden. Weitere Informationen zum Aktivieren dieser Einstellung in Outlook 2002 finden Sie im Microsoft Knowledge Base-Artikel 307594.

Weitere Informationen zu dieser Einstellung in Outlook Express 6 finden Sie im Microsoft Knowledge Base-Artikel 291387.

Auswirkung der Problemumgehung: E-Mail-Nachrichten, die im Nur-Text-Format angezeigt werden, können keine Bilder, speziellen Schriftarten, Animationen oder andere umfassende Inhalte enthalten. Darüber hinaus gilt:

Die Sicherheitsstufe für die Internetzone wird auf Hoch eingestellt. Diese Einstellung deaktiviert Skripts, ActiveX-Steuerelemente, Microsoft JVM (Microsoft Java Virtual Machine), HTML-Inhalte sowie Dateidownloads.

Die automatische Erkennung von Intranetsites wird deaktiviert. Diese Einstellung weist alle Intranetwebsites und UNC-Pfade (Universal Naming Convention) der Internetzone zu, die nicht ausdrücklich in der lokalen Intranetzone aufgelistet werden.

Die Installation bei Bedarf und Browsererweiterungen, die nicht von Microsoft stammen, werden deaktiviert. Diese Einstellung verhindert, dass Webseiten automatisch Komponenten installieren können, und unterbindet den Einsatz von Erweiterungen, die nicht von Microsoft stammen.

Multimediainhalte werden deaktiviert. Diese Einstellung verhindert das Verwenden von Musik, Animationen und Videoclips.