W001 - Obsolete HTML Tags

Description: RayQC Advanced durchsucht die Webanwendung nach der Verwendung veralteter HTML-Tags und JavaScript-Methoden.

Background: In Windows Internet Explorer 10 gibt es eine Reihe veralteter HTML-Tags und dazugehörige JavaScript-Methoden.

More Information: http://msdn.microsoft.com/en-us/library/ff806183%28v=vs.94%29.aspx

Manual Remediation: Überarbeiten Sie die Webanwendung so, dass die veralteten HTML-Tags nicht mehr verwendet werden. Mit CSS und JavaScript kann die gleiche Funktionalität erreicht werden.

W002 - DHTML Editing Control Compatibility

Description: RayQC Advanced durchsucht die Webanwendung nach der Verwendung des ActiveX-DHTML-Bearbeitungssteuerelements.

Background: Seit Windows Internet Explorer 5 war das DHTML-Bearbeitungssteuerelement für HTML, Active Server Pages (ASP), ASP.NET-Seiten und andere per HTTP aufgerufene Dokumente verfügbar. Aus Sicherheitsgründen wurde die Unterstützung für dieses Steuerelement von Microsoft seit Windows Vista eingestellt, das mit Windows Internet Explorer 7 ausgeliefert wurde. Webanwendungen können das Steuerelement möglicherweise nicht laden, wenn sie das für Scripting gespeicherte DHTML-Bearbeitungssteuerelement implementiert haben (<Object ID="editor">). In diesem Fall wird ein Bild-Platzhalter angezeigt. Außerdem können Ausnahmen von Skripten ausgelöst werden, die auf das Steuerelement verweisen. Da die Skriptauswertung durch Skriptausnahmen beendet wird, können auch andere vom Skript gesteuerte Funktionen aufhören zu funktionieren.

More Information: http://msdn.microsoft.com/en-us/library/aa663363.aspx

Manual Remediation: Überarbeiten Sie die Webanwendung so, dass das DHTML-Bearbeitungssteuerelement nicht mehr verwendet wird. Es gibt ein herunterladbares Originalsteuerelement in einem signierten Windows Installer-Paket namens DHTMLEd.msi von Microsoft, das verwendet werden kann, wenn eine Überarbeitung nicht praktikabel ist. (Achtung: Dies ist eine Problemumgehung! Die von Microsoft identifizierten Sicherheitsrisiken bleiben bestehen, da die Anwendung selbst unverändert bleibt.)

W003 - CreateElement() Method Compatibility

Description: RayQC Advanced durchsucht die Webanwendung nach spitzen Klammern, die in Argumenten verwendet werden, die an die createElement()-Methode übergeben werden.

Background: Ein Elementknoten in der Document Object Model (DOM)-Hierarchie wird durch die createElement()-Methode erstellt. Seit Windows Internet Explorer 9 hat Microsoft die Unterstützung für die Verwendung von spitzen Klammern (< >) innerhalb der createElement()-Methode eingestellt. Wenn diese Zeichen im Argument der createElement()-Methode enthalten sind, können Teile der Webanwendung nicht mehr funktionieren.

More Information: http://msdn.microsoft.com/en-us/library/ff986077(v=VS.85).aspx

Manual Remediation: Überarbeiten Sie die Webanwendung so, dass spitze Klammern in der createElement()-Methode nicht mehr verwendet werden. Übergeben Sie stattdessen den Elementnamen und verwenden Sie die setAttribute() -Methode, um die Werte der erforderlichen Attribute festzulegen.

W004 - Obsolete arguments.caller

Description: RayQC Advanced durchsucht die Webanwendung nach der arguments.caller-Eigenschaft.

Background: Vor Windows Internet Explorer 9 wurde beim Erstellen von Argumentobjekten eine Eigenschaft namens „caller" erstellt. Die Referenz auf das Argumentobjekt der Funktion, die das Argumentobjekt ursprünglich aufgerufen hatte, wurde in der Eigenschaft gespeichert. Seit Windows Internet Explorer 9 wird die arguments.caller-Eigenschaft von Microsoft nicht mehr unterstützt. Der Skriptfehler „object is null or undefined" tritt auf, wenn ein Skript versucht, diese Eigenschaft zu verwenden. Dadurch können Teile der Webanwendung nicht mehr funktionieren.

More Information: http://msdn.microsoft.com/en-us/library/gg622933(v=VS.85).aspx

Manual Remediation: Überarbeiten Sie die Webanwendung so, dass die arguments.caller-Eigenschaft nicht mehr verwendet wird. Verwenden Sie die Windows Internet Explorer 8-Kompatibilitätsansicht, wenn dies nicht praktikabel ist. Lösen Sie die Ansicht durch Verwendung des Meta-Attributwerts „X-UA-Compatible" aus.

W005 - Obsolete Document Object Model (DOM) Event Features

Description: RayQC Advanced durchsucht die Webanwendung nach folgenden DOM-Ereignisfunktionen: attachEvent(), detachEvent(), createEventObject() und fireEvent().

Background: Die folgenden DOM-Ereignisfunktionen werden von Microsoft seit Windows Internet Explorer 9 nicht mehr unterstützt: attachEvent(), detachEvent(), createEventObject() und fireEvent().

More Information: http://msdn.microsoft.com/en-us/library/ff986080(v=vs.85).aspx

Manual Remediation: Überarbeiten Sie die Webanwendung so, dass die veralteten DOM-Ereignisfunktionen nicht mehr verwendet werden. Es gibt W3C-standardkonforme Ersatzfunktionen, die stattdessen verwendet werden sollten.

W006 - Conditional Comments Compatibility

Description: RayQC Advanced durchsucht die Webanwendung nach bedingten Kommentaren, die zur Erkennung der Versionsnummer des Windows Internet Explorer verwendet werden. (Achtung: Diese Regel kann falsch-positive Ergebnisse für Webanwendungen erkennen, die bedingte Kommentare verwenden, um bekannte visuelle Fehler für ältere Windows Internet Explorer-Versionen zu beheben!)

Background: Es gibt nicht standardmäßige bedingte Kommentare des Windows Internet Explorer, die verwendet werden, um Inhalte bereitzustellen, die für einen bestimmten Browser optimiert sind, z. B. die Verwendung von spezifischem HTML, CSS oder JavaScript-Code (<!--[if IE 7]> <p>You are using Windows Internet Explorer 7.</p> <![endif]-->). Webanwendungen, die bedingte Kommentare verwenden, können möglicherweise inkompatible Inhalte liefern, da Windows Internet Explorer 10 nicht erkannt wird, weil die Hauptversionsnummer in Windows Internet Explorer 10 geändert wurde.

More Information: http://msdn.microsoft.com/en-us/library/ms537512(v=vs.85).aspx

Manual Remediation: Überarbeiten Sie die Webanwendung so, dass bedingte Kommentare nicht mehr verwendet werden. Stattdessen sollten W3C-Vorschläge wie die JavaScript-basierte Funktionserkennung verwendet werden.

W007 - Changed User-Agent String

Description: RayQC Advanced durchsucht die Webanwendung nach der Verwendung des User-Agent-Strings für die Browser- oder Systemerkennung. Die gängigen Javascript-Frameworks jQuery, jQuery UI, Prototype, MooTools und Cufon werden nicht durchsucht. (Achtung: Diese Regel kann falsch-positive Ergebnisse für Webanwendungen erkennen, die den User-Agent-String für Nebenzwecke wie die statistische Datenerhebung verwenden.)

Background: Der User-Agent-String übermittelt Browser-Details wie Name, Versionsnummer, Betriebsplattform usw. an den Hosting-Server, wenn auf eine Webanwendung zugegriffen wird (User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.0; SLCC1; .NET CLR 2.0.50727; .NET CLR 1.1.4322)). Diese Informationen können verwendet werden, um Inhalte bereitzustellen, die für den jeweiligen Browser optimiert sind. Einige Webanwendungen erkennen möglicherweise den User-Agent-String nicht und liefern daher inkompatible Inhalte, da der User-Agent-String in Windows Internet Explorer 10 geändert wurde.

More Information: http://msdn.microsoft.com/en-us/library/cc848857%28v=vs.85%29.aspx

Manual Remediation: Überarbeiten Sie die Webanwendung so, dass der User-Agent-String nicht mehr verwendet wird, sondern stattdessen die Funktionserkennung eingesetzt wird. Verwenden Sie die Windows Internet Explorer 7-Kompatibilitätsansicht, wenn dies nicht praktikabel ist. Lösen Sie die Ansicht durch Verwendung des Meta-Attributwerts „X-UA-Compatible" aus.

W008 - Use of "onload" and "onreadystatechange" Event

Description: RayQC Advanced durchsucht die Webanwendung nach der Verknüpfung beider Ereignisse („onload" und „onreadystatechange") mit einem Skriptelement.

Background: Das standardbasierte und interoperable Ladeereignis für Skriptelemente wurde seit Windows Internet Explorer 9 eingeführt. Vor der Einführung von Windows Internet Explorer 9 war das einzige unterstützte Ereignis für Skriptelemente das nicht-interoperable „onreadystatechange"-Ereignis. Dieses Ereignis wird in Windows Internet Explorer weiterhin unterstützt, um sicherzustellen, dass bestehende Websites weiterhin kompatibel sind. Für Sites, die sich sowohl für „onload" als auch für „onreadystatechange"-Ereignisse registrieren, kann es nun zwei Rückrufe geben. Dies kann zu unerwarteten Ergebnissen oder dem Ausfall eines Teils der Webanwendung führen.

More Information: http://msdn.microsoft.com/en-us/library/hh180173(v=VS.85).aspx

Manual Remediation: Überarbeiten Sie die Webanwendung so, dass ausschließlich das „onload"-Ereignis für Skripte verwendet wird, die ein Ladeereignis benötigen.

W009 - JavaScript Framework Compatibility

Description: RayQC Advanced durchsucht die Webanwendung nach der Verwendung älterer Versionen von JavaScript-Frameworks, die nicht mit Windows Internet Explorer 10 kompatibel sind. jQuery (vor 1.5.1), jQuery UI (vor 1.6.8), MooTools (vor 1.3), Prototype (vor 1.7) und Cufon (vor 1.09i) sind die Frameworks, die durchsucht werden.

Background: Seit Windows Internet Explorer 9 wurden von Microsoft Funktionen eingeführt und geändert, um die Standards für Konformität und Interoperabilität mit anderen Webbrowsern zu verbessern. Viele JavaScript-Frameworks haben Funktionen, die auf Funktionen früherer Versionen von Windows Internet Explorer basieren. In Windows Internet Explorer 10 funktionieren einige bekannte JavaScript-Frameworks möglicherweise nicht wie erwartet. Die meisten dieser JavaScript-Frameworks haben bereits Updates erhalten, um dies zu beheben. Dennoch werden ältere Versionen dieser Frameworks in vielen Webanwendungen noch verwendet und wurden noch nicht aktualisiert.

More Information: http://msdn.microsoft.com/en-us/library/hh180175(v=VS.85).aspx

Manual Remediation: Bitten Sie den Hersteller, ein Framework bereitzustellen, das mit Microsoft Internet Explorer 10 kompatibel ist. Verwenden Sie die Windows Internet Explorer 7-Kompatibilitätsansicht, wenn kein kompatibles Framework verfügbar ist. Lösen Sie die Ansicht durch Verwendung des Meta-Attributwerts „X-UA-Compatible" aus.

W010 - Unconventional Protocol Handlers

Description: RayQC Advanced durchsucht die Webanwendung nach der Verwendung unkonventioneller Protokolle in Skriptumleitungen und Hyperlinks.

Background: Das Präfix der URL-Adresse verweist auf einen Protokollnamen (http://www.raynet.de für ein HTTP-Protokoll, javascript:alert('Welcome') für ein JavaScript-Protokoll). Eine Anwendung kann für ein URL-Protokoll registriert werden. In diesem Fall wird seit Windows Internet Explorer 9 der Application Protocol Handler Dialog angezeigt, wenn die Anwendung gestartet wird. Dies ist eine Sicherheitsfunktion, die Benutzer davor schützen soll, versehentlich eine Anwendung mit gefährlichem oder bösartigem Inhalt auszuführen. Der Dialog wird bei jeder Ausführung der Anforderung angezeigt, bis der Dialog für dieses Protokoll deaktiviert wurde. Wenn keine Anwendung für ein URL-Protokoll registriert ist, wird die Information angezeigt, dass ein nicht installiertes Programm für den Start der Webanwendung erforderlich ist.

More Information: http://msdn.microsoft.com/en-us/library/dd565637(VS.85).aspx

Manual Remediation: Deaktivieren Sie das Kontrollkästchen Always as before opening this type of address nach der Verwendung eines Links, um weitere Anzeigen des Application Protocol Handler Dialogs durch Windows Internet Explorer 10 zu verhindern. Teile einer Webanwendung funktionieren möglicherweise nicht, wenn keine Anwendung für die Verarbeitung eines nicht standardmäßigen Protokolls konfiguriert ist.

W011 - Status Bar Text Changes

Description: RayQC Advanced durchsucht die JavaScript-Eigenschaften window.status und window.defaultStatus nach Skripten, die den Inhalt der Statusleiste ändern.

Background: Seit Windows Internet Explorer 7 ist es Webanwendungen nicht mehr gestattet, Skripte zur Konfiguration der Statusleiste in der Internet- oder eingeschränkten Zone zu verwenden. Daher können Aufrufe der JavaScript-Eigenschaften window.status oder window.defaultStatus möglicherweise lautlos fehlschlagen. Durch diese Maßnahme sollen Angreifer nicht mehr in der Lage sein, die Statusleiste zu fälschen.

More Information: http://msdn.microsoft.com/en-us/ie/aa740486

Manual Remediation: Aktivieren Sie das Kontrollkästchen Allow status bar updates via script in den benutzerdefinierten Sicherheitseinstellungen in den Internetoptionen von Windows Internet Explorer 10, um die Konfiguration der Statusleiste durch Skripte zu erlauben, die die Methoden window.status und window.defaultStatus verwenden.

W012 - Obsolete Dynamic Properties

Description: RayQC Advanced durchsucht die Webanwendung nach veralteten dynamischen Eigenschaften in CSS- oder JavaScript-Code.

Background: Seit Windows Internet Explorer 5 konnten Eigenschaftswerte durch die Verwendung dynamischer CSS-Eigenschaften als Formeln und nicht nur als Konstanten festgelegt werden. Autoren wurden durch die Verwendung einer dynamischen Eigenschaft die Möglichkeit gegeben, auf Eigenschaftswerte aus anderen Werten zu verweisen, und erhielten dadurch eine beispiellose Flexibilität beim Gestalten ihrer Webseiten. Dies führte jedoch auch zu negativen Auswirkungen auf Standardkonformität, Leistung, Zuverlässigkeit und Sicherheit. Dynamische Eigenschaften sind seit Windows Internet Explorer 8 veraltet, es gibt jedoch weiterhin Unterstützung für Webanwendungen, die dynamische Eigenschaften verwenden und im Windows Internet Explorer 5 (Quirks)-Modus oder Windows Internet Explorer 7 Standards-Modus angezeigt werden.

More Information: http://msdn.microsoft.com/en-us/library/ms537634(v=vs.85).aspx

Manual Remediation: Ersetzen Sie die Funktionalität dynamischer Eigenschaften durch JavaScript-Ereignis-Listener.

W013 - Conformity to the Request for Comments (RFC) Guidelines

Description: RayQC Advanced durchsucht die Webanwendung nach der Verwendung von URLs, die die Anforderungen der RFC 3986 und 3987-Richtlinien nicht erfüllen.

Background: Um zu verhindern, dass fehlerhafte URLs Windows Internet Explorer täuschen, wird die URL seit Windows Internet Explorer 7 analysiert, um sicherzustellen, dass sie den RFC-Richtlinien entspricht, nachdem sie in die Adressleiste eingegeben wurde. Die Webanwendung darf mit eingeschränkter Funktionalität angezeigt werden, wenn sie den Verifizierungsprozess nicht besteht. Dies kann zu einem unerwarteten Verhalten der Webanwendung führen.

More Information: https://msdn.microsoft.com/en-us/library/dd565653(v=vs.85).aspx

Manual Remediation: Überarbeiten Sie die Webanwendung und stellen Sie sicher, dass alle in der Webanwendung verwendeten URLs die Anforderungen der RFC 3986 und 3987-Richtlinien erfüllen.

W014 - CSS Compatibility

Description: RayQC Advanced durchsucht die Webanwendung nach der Verwendung von CSS-Funktionen, die von Windows Internet Explorer 10 nicht unterstützt werden.

Background: Die Unterstützung für den W3C CSS-Standard wurde mit jeder neuen Version von Windows Internet Explorer verbessert (:focus {sRules} wird von Windows Internet Explorer 10 unterstützt, aber nicht von Windows Internet Explorer 7). In Windows Internet Explorer 10 gibt es vollständige Konformität mit CSS 2.1, und viele CSS 3-Funktionen werden unterstützt.

More Information: http://msdn.microsoft.com/en-us/library/cc351024(v=vs.85).aspx

Manual Remediation: Überarbeiten Sie die Webanwendung so, dass nur CSS-Funktionen verwendet werden, die von Windows Explorer 10 unterstützt werden.

W015 - XSLT (Extensible Stylesheet Language Transformations) Changes

Description: RayQC Advanced durchsucht die Webanwendung nach der Verwendung nicht unterstützter XSLT-Elemente. Legacy-XSL-Namespaces, Legacy-Stylesheet-Verarbeitungsanweisungen und XSLT-Ausgabedirektiven sind die Funktionen, die durchsucht werden.

Background: XSLT wird für die Modifikation von XML-Dokumenten verwendet und ist eine deklarative, auf XML basierende Sprache. Die Verarbeitung von XML- und XSLT-Dateien wurde seit Windows Internet Explorer 9 geändert, um die Konformität mit den Standards anderer Browser und die Kompatibilität mit anderen Browsern zu verbessern. Es wurden hauptsächlich Änderungen an einigen nicht standardmäßigen Verhaltensweisen bei der Verarbeitung von XSLT-Dateien vorgenommen. Diese können dazu führen, dass Webanwendungen unerwartetes Verhalten zeigen oder eine eingeschränkte Funktionalität aufweisen.

More Information: http://msdn.microsoft.com/en-us/library/hh180178(v=vs.85).aspx

Manual Remediation: Überarbeiten Sie die Webanwendung durch Migration zu einem kompatiblen und standardisierten XSLT-Namespace. Microsoft hat einige Migrationsszenarien vorbereitet.

W017 - Obsolete DirectX-based Filters and Transitions Reference

Description: RayQC Advanced durchsucht die Webanwendung nach der Verwendung von DirectX-basierten Filtern und Übergängen, die in Windows Internet Explorer 10 nicht mehr unterstützt werden.

Background: Seit Windows Internet Explorer 4.0 konnten Webentwickler ihren Webseiten durch die Verwendung einer Reihe visueller Filter und Übergänge Multimedia-Effekte hinzufügen. Sie werden als DX-Filter bezeichnet, aufgrund ihrer zugrunde liegenden Implementierung DirectX und ihrer Langform-Syntax (filter:progid:DXImageTransform.Microsoft.Alpha(opacity=75)). Seit Windows Internet Explorer 9 gibt es eine standardbasierte Alternative zu gängigen DX-Filtern. In Windows Internet Explorer 10 können Sie das Legacy-Feature weiterhin in den Dokumentmodi 5, 7 und 8 verwenden, obwohl die Leistung geringer ist als bei ihren hardwarebeschleunigten, standardbasierten Ersatzfunktionen.

More Information: http://msdn.microsoft.com/en-us/library/ms532853%28v=vs.85%29.aspx

Manual Remediation: Überarbeiten Sie die Webanwendung für die Verwendung standardbasierter Technologien. Verwenden Sie die Windows Internet Explorer-Kompatibilitätsansicht, wenn dies nicht praktikabel ist. Lösen Sie die Ansicht durch Verwendung des Meta-Attributwerts „X-UA-Compatible" aus.

W018 - Obsolete Vector Markup Language (VML) Elements

Description: RayQC Advanced durchsucht die Webanwendung nach der Verwendung veralteter VML-Elemente.

Background: VML, das zur Erstellung von Vektorgrafiken in Webanwendungen verwendet wurde, wird von Microsoft seit Windows Internet Explorer 10 nicht mehr unterstützt. In Windows Internet Explorer 10 können Sie das Legacy-Feature weiterhin in den Dokumentmodi 5, 7, 8 und 9 verwenden, obwohl die Leistung geringer ist als bei ihren hardwarebeschleunigten, standardbasierten Ersatzfunktionen.

More Information: http://msdn.microsoft.com/en-us/library/ie/hh801223%28v=vs.85%29.aspx

Manual Remediation: Überarbeiten Sie die Webanwendung für die Verwendung standardbasierter Technologien wie z. B. das Scalable Vector Graphics (SVG)-Format. Verwenden Sie die Windows Internet Explorer-Kompatibilitätsansicht, wenn dies nicht praktikabel ist. Lösen Sie die Ansicht durch Verwendung des Meta-Attributwerts „X-UA-Compatible" aus.

W019 - Microsoft Internet Explorer plug-in Compatibility in the Windows UI

Description: RayQC Advanced durchsucht die Webanwendung nach eingebettetem Inhalt, für den die Verwendung externer Plug-ins erforderlich ist.

Background: Windows Internet Explorer 10 bietet zwei verschiedene Möglichkeiten zum Browsen. Es gibt den Windows Internet Explorer in der Windows-Benutzeroberfläche und den Windows Internet Explorer für den Desktop, die beide dieselbe Technologie zur Darstellung von Webanwendungen verwenden. Obwohl das Verhalten und das Erscheinungsbild unterschiedlich sein können. Beispielsweise ist die Adobe Flash-Unterstützung begrenzt und andere Plug-ins, wie Java-Applets, werden vom Windows Internet Explorer in der Windows-Benutzeroberfläche nicht unterstützt. Bei Verwendung von Windows Internet Explorer 10 in der Windows-Benutzeroberfläche können Webanwendungen, die auf diese Technologien angewiesen sind, möglicherweise nicht wie erwartet funktionieren.

More Information: https://msdn.microsoft.com/nl-be/library/hh920753(v=vs.85).aspx

Manual Remediation: Überarbeiten Sie die Webanwendung für die Verwendung standardbasierter Technologien, einschließlich unterstützter HTML5-Funktionen, damit sie korrekt mit Windows Internet Explorer 10 in der Windows-Benutzeroberfläche funktioniert.

W020 - XML Data Islands Compatibility

Description: RayQC Advanced durchsucht die Webanwendung nach der Verwendung veralteter XML-Dateninseln.

Background: Die Unterstützung für XML-Dateninseln wurde von Microsoft seit Windows Internet Explorer 10 eingestellt. Sie werden nun in HTML analysiert, um die Kompatibilität und Konformität mit HTML5 zu verbessern. Seiten, die für Windows Internet Explorer geschrieben wurden, oder Seiten, die Browser-Sniffing verwenden, um ihr Verhalten in Windows Internet Explorer zu ändern, werden davon beeinflusst.

More Information: http://msdn.microsoft.com/en-us/library/ie/hh801224(v=vs.85).aspx

Manual Remediation: Überarbeiten Sie die Webanwendung so, dass XML-Dateninseln nicht mehr verwendet werden. Verwenden Sie stattdessen andere Technologien oder Meta-Tags, die die Dokumentkompatibilität mit Microsoft Internet Explorer 10 definieren können.

W021 - Obsolete VBScript Code

Description: RayQC Advanced durchsucht die Webanwendung nach der Verwendung von VBScript-Code.

Background: VBScript-Code wird seit Windows Internet Explorer 11 als Skriptsprache für Windows Internet Explorer nicht mehr unterstützt. Im Edge-Modus werden Webanwendungen keinen VBScript-Code ausführen.

More Information: http://msdn.microsoft.com/en-us/library/ie/dn384057(v=vs.85).aspx

Manual Remediation: Überarbeiten Sie die Webanwendung so, dass JavaScript anstelle von VBScript verwendet wird.

W026 - Binary Elements Behaviors Binding

Description: RayQC Advanced durchsucht die Webanwendung nach binären Verhaltensweisen, die nicht mehr automatisch gebunden werden.

Background: Um eine höhere Konsistenz mit anderen gängigen Browsern zu gewährleisten, bindet Internet Explorer binäre Elementverhaltensweisen nicht automatisch.

More Information: http://msdn.microsoft.com/en-us/library/ff986078(v=vs.85).aspx

Manual Remediation: Überarbeiten Sie die Webanwendung so, dass keine manuell bindenden Steuerelemente verwendet werden.