Vor allem Office-Anwender müssen diesen Monat eine Reihe von Patches herunterladen. Fünf der Bulletins betreffen die Office-Suite. Der Internet Explorer selbst hat zwar nur eine Meldung zu verzeichnen, er zeichnet aber dafür verantwortlich, dass sich zwei andere Lücken überhaupt ausnutzen lassen.
Jeden zweiten Dienstag im Monat ist Microsoft Patch Day. An diesem Tag veröffentlicht der Software-Gigant aus Redmond eine Liste entdeckter Bugs samt zugehöriger Fixes. Durch einen festen Monatsrhythmus möchte man Systemadministratoren das Leben erleichtern und die Updates zu einer planbaren Größe im IT-Management machen.
MS08-041: Code-Ausführung über Snapshot-ActiveX
Der Snapshot-Viewer erlaubt es dem Benutzer, Berichte aus Access-Datenbanken anzuschauen, ohne selbst Microsoft Access installiert zu haben. Da das Tool als ActiveX-Komponente erstellt ist, lässt es sich auch im Internet Explorer aufrufen.
Durch einen Fehler bei der Synchronisierung kann es beim Speichern von Dateien durch das ActiveX zur Ausführung beliebigen Codes mit den Rechten des gerade angemeldeten Benutzers kommen. Um den Fehler auszunutzen, muss der Angreifer das Opfer lediglich dazu bringen, eine speziell präparierte Web-Seite mit dem Internet Explorer zu besuchen.
|
Datum |
13.08.2008 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Office 2000, XP und 2003, Snapshot Viewer für Microsoft Access |
|
Auswirkung |
DNS-Spoofing |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS08-042: Code-Ausführung über Word
Ein Fehler bei der Auswertung bestimmter Datensatzwerte in einem Word-Dokument kann zum Überschreiben von Speicherbereichen und damit der Ausführung beliebigen Codes mit den Rechten des gerade angemeldeten Benutzers führen.
Der Angreifer muss das Opfer lediglich dazu bringen, ein speziell präpariertes Word-Dokument zu öffnen.
|
Datum |
13.08.2008 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Office XP, 2003 |
|
Auswirkung |
Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS08-43: Code-Ausführung über Excel
Diverse Lücken in Microsoft Excel erlauben die Ausführung beliebigen Codes mit den Rechten des gerade angemeldeten Benutzers. Grund ist jeweils eine mangelhafte Überprüfung bestimmter Felder im Excel-Dokument. Betroffen sind Indexwerte, Arrayindizes und Datensätze. Letzteres lässt sich auch gegen einen Sharepoint-Server ausnutzen und kann dort zur Ausweitung von Rechten führen.
Um diese Lücken auszunutzen, muss der Angreifer das Opfer dazu bringen, eine speziell präparierte Excel-Datei zu öffnen. Beim Angriff gegen Sharepoint muss er lediglich eine entsprechende Excel-Datei auf den Server laden und mit dieser Datei einen Webpart erzeugen.
Eine weitere Lücke in Office 2007 besteht darin, dass Excel-Dokumente mit einer Remote-Datenverbindung unter Umständen Reste der Anmeldeinformationen enthalten können, auch wenn diese nicht gespeichert werden sollen.
|
Datum |
13.08.2008 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Office 2000, XP, 2003, 2007, Office 2004 for Mac, 2008 for Mac |
|
Auswirkung |
Code-Ausführung, Rechteausweitung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS08-44: Code-Ausführung über Office-Grafikfilter
Lücken in diversen Grafikfiltern lassen sich ausnutzen, um beliebigen Code mit den Rechten des gerade angemeldeten Benutzers auszuführen. Betroffen sind die Bildformate EPS, PICT, BMP und WPG.
Um die Lücke auszunutzen, muss der Angreifer lediglich speziell präparierte Bilder in einem der betroffenen Formate in ein Office-Dokument einbinden und das Opfer dazu bringen, dieses Dokument zu öffnen.
|
Datum |
13.08.2008 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Office 2000, XP, 2003, Project 2002, Works 8, Office Converter Pack |
|
Auswirkung |
Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
CVE-2008-3018, CVE-2008-3019, CVE-2008-3020, CVE-2008-3021, CVE-2008-3460 |
MS08-45: Kumulatives Update für den Internet Explorer
Dieses kumulative Update für den Internet Explorer behebt eine Reihe von Lücken, die sich allesamt zur Ausführung beliebigen Codes mit den Rechten des gerade angemeldeten Benutzers ausnutzen lassen.
Wie üblich muss das Angreifer das Opfer lediglich dazu bewegen, eine speziell präparierte HTML-Seite mit dem Internet Explorer anzeigen zu lassen.
|
Datum |
13.08.2008 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
IE 5, 6 und 7 |
|
Auswirkung |
Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
CVE-2008-2254, CVE-2008-2255, CVE-2008-2256, CVE-2008-2257, CVE-2008-2258, CVE-2008-2259 |
MS08-46: Code-Ausführung über Windows-Farbverwaltung
Ein Fehler in der Farbverwaltung (Color Management) von Windows führt unter Umständen dazu, dass bei der Verarbeitung einer Bilddatei Speicher falsch zugewiesen wird. Die Folge ist überschriebener Speicher und die Ausführung beliebigen Codes mit den Rechten des gerade angemeldeten Benutzers.
Der Angreifer muss das Opfer lediglich dazu bringen, eine speziell gestaltete Bilddatei zu öffnen. Dies kann beispielsweise auch durch Einbetten einer solchen in eine Webseite geschehen.
|
Datum |
13.08.2008 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Windows 2000, XP, Server 2003 |
|
Auswirkung |
Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS08-47: Informationspreisgabe bei IPSec unter Vista und Server 2008
Beim Import einer IPSec-Richtlinie von Windows Server 2003 nach Windows Server 2008 kann es passieren, bestimmte Informationen nicht mehr verarbeitet werden. Die Folge wäre, dass Netzwerkverkehr im Klartext übermittelt wird, der eigentlich verschlüsselt sein sollte.
Zwar gibt das einem Angreifer keinen direkten Zugriff auf Systeme, er kann dadurch jedoch an Informationen gelangen, die ihm bei anderen Angriffsversuchen helfen.
|
Datum |
13.08.2008 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Windows Vista, Server 2008 |
|
Auswirkung |
Preisgabe von Informationen |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS08-48: Update für Outlook Express und Windows Mail
Der MHTML-Protokollhandler in Outlook Express und Windows Mail interpretiert URL-Umleitungen unter gewissen Umständen nicht korrekt. Dadurch können diese Einschränkungen im Zonenmodell des Internet Explorer umgehen.
Der Angreifer muss das Opfer auf eine speziell präparierte Seite locken und kann dann möglicherweise sensitive Informationen aus einer anderen Zone oder dem lokalen Computer auslesen.
|
Datum |
13.08.2008 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Windows 2000, XP, Server 2003, Vista, Server 2008 |
|
Auswirkung |
Preisgabe von Informationen |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS08-49: Code-Ausführung über Windows-Ereignissystem
Das Ereignissystem von Windows verwaltet Methodenaufrufe und Abonnements zwischen Windows und Anwendungen. Eine Lücke bei der Verarbeitung der Abonnements kann dazu führen, dass beliebiger Code im Kontext des lokalen Systems ausgeführt wird. Der Angreifer muss dazu lediglich über gültige Anmeldeinformationen für die Domäne verfügen und eine speziell gestaltete Anforderung für ein Ereignisabonnement an Microsoft Windows-Ereignissystem senden.
Ein weiterer Bug betrifft die Art und Weise wie Windows Funktionszeiger in einem Array verwaltet. Ein Angreifer muss lediglich einen Aufruf an das System schicken und einen ungültigen Array-Index übergeben. Auch hier sind gültige Anmeldeinformationen notwendig.
|
Datum |
13.08.2008 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Windows 2000, XP, Server 2003, Vista, Server 2008 |
|
Auswirkung |
Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS08-50: Informationspreisgabe über Messenger
Das ActiveX-Steuerelement „Messenger.UIAutomation.1“ ist fälschlicherweise als „Sicher für Skripting“ markiert. Dadurch kann es im Internet Explorer instantiiert und per Skript gesteuert werden.
Dadurch kann ein Angreifer ohne Wissen des Benutzers dessen Status ändern, Informationen über die Kontakte erhalten und sogar Chat-Sitzungen starten. Er muss das Opfer lediglich dazu bringen, mit dem Internet Explorer eine speziell präparierte Webseite aufzurufen.
|
Datum |
13.08.2008 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Windows Messenger 4.7 und 5.1 |
|
Auswirkung |
Informationspreisgabe |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS08-51: Code-Ausführung über Powerpoint
Bei der Analyse verschiedener Elemente (Bilder und Listen) in einer Powerpoint-Präsentation unterlaufen dem Programm unter bestimmten Bedingungen Fehler, aufgrund derer der benötigte Speicher falsch berechnet wird. In Folge kann es zur Ausführung beliebigen Codes mit den Rechten des gerade angemeldeten Benutzers kommen.
Der Angreifer muss das Opfer lediglich dazu bewegen, eine speziell präparierte Powerpoint-Datei zu öffnen.
|
Datum |
13.08.2008 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Office 2000, XP, 2003, 2007 |
|
Auswirkung |
Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |