Die Mail-Programme Outlook und Outlook Express sind offenbar von besonders vielen Sicherheitsproblemen betroffen. Daraus könnte man zwar schließen, dass die Herstellerfirma wenig Wert auf korrekte Implementation der sicherheitsrelevanten Funktionen legt. Allerdings muss in diesem Zusammenhang unbedingt darauf hingewiesen werden, dass viele der Probleme vor allem deshalb so relevant und dringend erscheinen, weil diese beiden Programme zu den am meisten verwendeten Email-Clients überhaupt gehören. Besonders Outlook Express ist standardmäßig bei jeder Windows Installation an Bord und wird daher von vielen Einsteigern verwendet.

Mitte des Jahres 2000 wurde ein Problem bei Microsoft Outlook und Outlook Express festgestellt: anscheinend soll es möglich sein, mit speziellen Emails einen sogenannten Buffer Overflow Fehler zu generieren. Dazu ist eine Email-Nachricht mit einer besonders langen Headerinformation auszustatten, die dann einen Fehler im Programm verursacht. Dadurch könnte ein geübter Angreifer beliebigen Code auf dem Computer des Betroffenen ausführen.

Die Hauptproblematik im erwähnten Fall liegt darin, dass die Nachricht weder geöffnet noch irgendein Anhang ausgeführt werden muss, um dem Eindringling Tür und Tor zu öffnen. Dies ist insbesondere deshalb brisant, als dass sehr viele Computer-Benutzer Outlook oder Outlook Express verwenden. Allerdings sind nur Clients betroffen, die POP3 oder IMAP4 verwenden - große Firmennetze mit MAPI Servern seien nicht betroffen.

• "Masquerade"-Attacke

Dieses Problem ist weniger ein Programmierfehler als vielmehr eine konzeptionelle Schwäche in den Outlook Programmen. Das Prinzip der Attacke beruht darauf, das Outlook gewissen Dateien ein besonders niedriges Gefahrenpotenzial zuordnet und diese ohne Rückfrage öffnet. Allerdings wird dazu nicht etwa der tatsächliche Inhalt der fraglichen Datei untersucht, sondern das Programm verlässt sich dabei auf die Dateiendung. Dazu gehören neben Bildformaten wie .jpg und .gif auch Office Endungen wie .doc. Dies bedeutet, dass jede Datei, die unter einer dieser Endungen gespeichert wurde, geöffnet wird, sobald der Benutzer einen Klick auf die Datei ausführt.

Auf diesem Weg können vor allem gefährliche Inhalte wie Trojanische Pferde und Viren in das System gelangen. Die Attacke funktioniert folgenderweise:

Zuerst wird das bösartige Programm als .cab Datei abgespeichert (dies ist ein Archivformat von Microsoft). Diese .cab Datei wird dann mit einer Endung versehen, die Outlook als "ungefährlich" einstuft, und an den Empfänger versendet.

Wenn dieser dann auf die angehängte Datei in der Nachricht klickt, wird der Inhalt des Archivs in ein temporäres Verzeichnis entpackt. Besonders gefährlich ist dies, wenn die Nachricht ein Java-Skript ausführt, das dann den entpackten Bösewicht aufruft.

Auch Eudora ist ein weitverbreitetes und beliebtes Mail-Programm. Natürlich gibt es auch hier einige Sicherheitslücken zu berichten.

• Probleme mit Dateiendungen

Ähnlich wie Outlook ermöglicht es auch Eudora, bestimmte Dateitypen direkt aus dem Mail heraus durch Doppelklick zu öffnen. Daher resultiert auch die folgende Schwachstelle, die im April 2000 berichtet wurde.

Offensichtlich ist Eudora genau wie Outlook nicht in der Lage, eingelangte Dateien nach ihrem wahren Inhalt zu bewerten (was technisch gesehen auch ein eher schwieriges Problem darstellt). Aus diesem Grund verlässt man sich offensichtlich auf die Dateiendungen, was zum altbekannten Problem führt, dass der Benutzer des Programms möglicherweise schädigenden Inhalt ohne Nachfrage öffnen kann.

Abhilfe schafft ein kurzer Eintrag im Optionenfenster des Programms: hier kann man einstellen, welche Dateitypen als ungefährlich eingestuft werden.

• JavaScript Verwundbarkeit

JavaScript ist eine Skriptsprache, die häufig auf Webpages und eben auch in HTML-Mails verwendet wird, um aktive Inhalte zu generieren. Dabei ist es aber unter gewissen Umständen möglich, dass auch unerlaubte und schädliche Aktionen durchgeführt werden. Eudora ist nach einem Bericht vom März 1999 anfällig für solche bösartigen JavaScripts, wenn ein Benutzer auf bestimmte Links in einem HTML-Mail klickt und dadurch JavaScripts startet.

Es wird daher empfohlen, im Standardbrowser die Unterstützung für JavaScript auszuschalten. Allerdings ist diese Empfehlung etwas radikal, da sie besonders auf multimedialen Seiten zu beträchtlichen Einbußen bei Darstellung und Inhalt führen kann.