Jeden zweiten Dienstag im Monat ist Microsoft Patch Day. An diesem Tag veröffentlicht der Software-Gigant aus Redmond eine Liste entdeckter Bugs samt zugehöriger Fixes. Durch einen festen Monatsrhythmus möchte man Systemadministratoren das Leben erleichtern und die Updates zu einer planbaren Größe im IT-Management machen.
Im Juni gab es zwölf Bulletins, diesen Monat sind es zwar nur sieben Bulletins, diese betreffen jedoch 18 Lücken. Microsoft hält 16 dieser Lücken für kritisch.
Der Internet Explorer ausnahmsweise nicht mit dabei. Wenn Sie weiterhin nicht auf den Browser verzichten können oder wollen:
-
Surfen Sie nur mit einem eingeschränkten Account.
-
Schalten Sie aktive Inhalte (Scripting und ActiveX) nur für absolut vertrauenswürdige Sites frei.
-
Klicken Sie nicht auf jeden Link, insbesondere nicht auf Links aus dubiosen Quellen (etwa Spam-Mails).
-
Besuchen Sie wichtige Sites wie Online-Banking oder Ähnliches nur über Bookmarks.
-
Wenn Sie nicht unbedingt auf den Internet Explorer angewiesen sind, sollten Sie einen alternativen Browser in Erwägung ziehen.
MS06-033: Lücke in ASP.NET ermöglicht Ausspähen von Daten
ASP.Net validiert übergebene URLs nicht ausreichend. Dadurch kann ein Angreifer Sicherheitsmechanismen umgehen und Objekte im Anwendungs-Ordner direkt per Namen adressieren. Damit kann er sich zwar nicht direkt erweiterte Rechte verschaffen aber an nützliche Informationen gelangen, die ihm beim Angriff auf das System behilflich sind.
Betroffen sind primär Web-Server mit ASP.Net-Applikationen auf Basis des .NET-Framework 2.0.
|
Datum |
12.07.2006 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Alle Windows-Versionen mit .NET-Framework 2.0 |
|
Auswirkung |
Preisgabe von Informationen |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS06-034: Code-Ausführung bei IIS und ASP
Ein ungeprüfter Puffer im IIS ermöglicht die Ausführung beliebigen Codes mit vollen Systemrechten. Dazu muss der Angreifer allerdings eine speziell präparierte ASP-Seite auf den Server aufspielen und über den IIS abrufen.
Dementsprechend sind besonders solche Web-Server betroffen, bei denen es Benutzern erlaubt ist, eigene ASP-Seiten zu erstellen und auf das System zu laden. Andernfalls benötigt ein Angreifer gültige Login-Daten, um die Datei zu überspielen.
|
Datum |
12.07.2006 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
IIS ab Version 5.0 auf Windows XP, 2000 und 2003 |
|
Auswirkung |
Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS06-035: Schwere Lücken im Server-Dienst
Gleich zwei schwere Lücken im Server-Dienst behebt dieses Update.
1. Ein ungeprüfter Puffer im Server-Dienst bei der Verarbeitung von Mailslots ermöglicht die Ausführung beliebigen Codes mit vollen Rechten. Bei einem Mailslot handelt es sich nicht um ein System zum Austausch von Emails sondern um einen Mechanismus zum temporären, undirektionalen Datentransfer zwischen Applikationen, auch über das Netzwerk. Ein Angreifer muss lediglich ein speziell präpariertes Netzwerkpaket an das System schicken, um die Lücke auszunutzen.
2. Über einen nicht initialisierten Puffer im SMB-Treiber kann ein nicht authentifizierter Angreifer an Informationen gelangen, die in Puffern für SMB-Datenverkehr gespeichert sind. Mittels eines speziell präparierten Pakets kann der Angreifer dafür sorgen, dass im Antwortpaket bestimmte Felder mit den Daten anderer Sessions gefüllt sind. Hierdurch kann er an sensitive Informationen gelangen, die ihm bei weiteren Angriffsversuchen behilflich sind.
|
Datum |
12.07.2006 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Windows XP, 2000 und 2003 |
|
Auswirkung |
Code-Ausführung, Ausspähung sensitiver Daten |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS06-036: Code-Ausführung über DHCP-Client
Ein ungeprüfter Puffer im DHCP-Client-Dienst ermöglicht es einem Angreifer, beliebigen Code mit vollen Rechten auszuführen.
Dazu muss der Angreifer lediglich ein speziell präpariertes DHCP-Antwortpaket auf die Anfrage eines Clients schicken.
|
Datum |
12.07.2006 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Windows XP, 2000 und 2003 |
|
Auswirkung |
Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS06-037: Code-Ausführung in Excel
Gleich acht Lücken in Microsoft Excel behebt dieses Update. Gemein ist allen Fehlern, dass sie die Ausführung beliebigen Codes ermöglichen und dass sie sich auch über das Internet ausnutzen lassen, indem der Angreifer ein speziell präpariertes Excel-Dokument ins Web stellt. Dann muss er das Opfer nur noch dazu bewegen, diese Datei anzuschauen.
Die ersten beiden Lücken betreffen die Verarbeitung von SELECTION-Einträgen. Sind diese speziell präpariert, wird Systemspeicher überschrieben. Ähnliches gilt für COLINFO-, LABEL- und OBJEKT-Einträge. Ein ungültiger FNGROUPCOUNT-Wert kann denselben Effekt hervorrufen.
Will man mit Excel ein scheinbar defektes Dokument öffnen, kann es unter bestimmten Bedingungen bei dem Versuch, das Dokument zu reparieren, ebenfalls zum Überschreiben von Systemspeicher kommen.
Betroffen sind übrigens auch die Mac-Versionen von Excel.
|
Datum |
12.07.2006 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Excel 2000, 2002 und 2003 für Windows, Excel 2004 und v. X für Mac |
|
Auswirkung |
Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
CVE-2006-1301 , CVE-2006-1302 , CVE-2006-1304 , CVE-2006-1306 , CVE-2006-1308 , CVE-2006-1309 , CVE-2006-2388 , CVE-2006-3059 , |
MS06-038: Code-Ausführung durch PNG und GIF in Office
An drei verschiedenen Stellen in Microsoft Office kann es bei der Verarbeitung von speziell aufgebauten Zeichenketten zum Überschreiben von Systemspeicher und in Folge zur Ausführung beliebigen Codes kommen.
Dies lässt sich von einem Angreifer ausnutzen, indem er das Opfer dazu bringt, ein speziell präpariertes Office-Dokument lokal oder über das Internet zu öffnen. Im Falle von Outlook reicht es auch aus, dem Benutzer eine entsprechende Email mit einem solchen String zu schicken.
|
Datum |
12.07.2006 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Office 2000, XP und 2003 für Windows, Project 2000 und 2002, Visio 2002, Office 2004 und v. X für Mac |
|
Auswirkung |
Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS06-039: Code-Ausführung durch PNG und GIF in Office
Bei der Verarbeitung von speziell aufgebauten GIF- und PNG-Bildern kann es in Microsoft Office zum Überschreiben von Systemspeicher und in Folge zur Ausführung beliebigen Codes kommen.
Dies lässt sich von einem Angreifer ausnutzen, indem er das Opfer dazu bringt, ein speziell präpariertes Office-Dokument lokal oder über das Internet zu öffnen. Im Falle von Outlook reicht es auch aus, dem Benutzer eine entsprechende Email mit einem solchen Bild zu schicken.
|
Datum |
12.07.2006 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Office 2000, XP und 2003 für Windows, Project 2000, 2002 und 2003, OneNote 2003, WorksSuite 2004, 2005 und 2006 |
|
Auswirkung |
Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |