Sicherheitslücke in IncrediMail

Das US-CERT hat eine Sicherheitslücke in einem von IncrediMail installierten ActiveX-Modul gemeldet, die es bösartigen Individuen ermöglicht, mit manipulierten Webseiten, E-Mails oder HTML-Dateianhängen beliebigen Programmcode auf die Rechner von Benutzern zu schmuggeln. IncrediMail bringt im Gegensatz zu anderen Mailprogrammen zahlreiche Animationen, Emoticons und Hintergrundbilder mit, was es vor allem bei Jugendlichen und weniger puristischen Computeranwendern beliebt macht.

Im ActiveX-Modul IMMenuShellExt kann ein Pufferüberlauf auftreten. Die Bibliothek ImShExt.dll enthält die ActiveX-Komponente, die bei der Installation als \”Safe for Scripting\” markiert wird, wodurch Webseiten sie im Internet Explorer einbinden können. Die Methode DoWebMenuAction() der betroffenen ActiveX-Komponente überprüft die übergebenen Parameter offenbar nicht korrekt, sodass durch präparierte Aufrufe ein Pufferüberlauf auftreten kann. Nähere Angaben zur Schwachstelle macht das US-CERT nicht.

Die ClassID des ActiveX-Moduls IMMenuShellExt lautet {F8984111-38B6-11D5-8725-0050DA2761C4}. Wenn man hierfür das Killbit setzt, bindet der Internet Explorer das Modul nicht mehr ein, sodass Angreifer die Lücke nicht mehr ausnutzen können. Folgender Codeschnippsel kann dies dem US-CERT zufolge erledigen, wenn man ihn in einen Texteditor kopiert, als .reg-Datei abspeichert und anschließend etwa mit einem Doppelklick in die Registry importiert:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Internet Explorer\\ActiveX Compatibility\\{F8984111-38B6-11D5-8725-0050DA2761C4}]
\”Compatibility Flags\”=dword:00000400

Alternativ hilft auch das Deaktivieren der ActiveX-Unterstützung im Internet Explorer. Da die Zielgruppe von IncrediMail vermutlich jedoch aktive Inhalte bevorzugt, ist dieser Schritt wenig praktikabel. Daher sollten betroffene Anwender das Killbit wie beschrieben setzen. Der Fehler betrifft alle IncrediMail-Versionen bis einschließlich der aktuellen Fassung 5.50. Bislang steht noch kein Update auf der Webseite des Herstellers bereit, das die Lücke schließen würde.