Besonders wichtig dürfte diesen Monat die Lücke in der DNS-Implementation verschiedener Windows-Versionen sein. Microsoft hat sie zwar nicht als kritisch eingestuft, aber die Folgen eines DNS-Poisoning können erheblich sein.
Jeden zweiten Dienstag im Monat ist Microsoft Patch Day. An diesem Tag veröffentlicht der Software-Gigant aus Redmond eine Liste entdeckter Bugs samt zugehöriger Fixes. Durch einen festen Monatsrhythmus möchte man Systemadministratoren das Leben erleichtern und die Updates zu einer planbaren Größe im IT-Management machen.
MS08-037: Anfälligkeit für DNS-Spoofing
Zwei Bugs in der DNS-Implementation von Windows ermöglichen das Fälschen von Adress-Einträgen im DNS-Cache (DNS-Cache-Poisoning). Dadurch werden unter Umständen Domainnamen falschen IP-Adressen zugeordnet und ein Angreifer kann den Internet-Traffic von einem legitimen zu einem von ihm gewählten Server umleiten.
Hält er dort entsprechende gestaltete Seiten vor, kann er das Opfer dazu bringen, dort vertrauliche Daten oder Login-Informationen einzugeben. Betroffen vom Cache-Poisoning sind sowohl DNS-Server als auch DNS-Client in verschiedenen Windows-Versionen.
|
Datum |
08.07.2008 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Windows 2000, XP, 2003, 2008 |
|
Auswirkung |
DNS-Spoofing |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS08-038: Code-Ausführung über Windows Explorer
Eine Lücke im Windows Explorer von Windows Vista und Windows Server 2008 ermöglicht die Ausführung beliebigen Codes mit den Rechten des gerade angemeldeten Benutzers. Schuld ist die neue Suchfunktion von Vista und Server 2008, die gespeicherte Suchanfragen nicht korrekt verarbeitet.
Um die Lücke auszunutzen, muss der Angreifer das Opfer lediglich dazu bringen, eine speziell präparierte Suchdatei zu öffnen.
|
Datum |
08.07.2008 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Windows Vista, Server 2008 |
|
Auswirkung |
Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS08-39: Rechteausweitung über OWA für Exchange
Zwei Lücken in „Outlook Web Access für Exchange Server“ ermöglichen dem Angreifer eine XSS-Attacke (Cross Site Scripting). Damit kann der Angreifer Scriptcode in die OWA-Sitzung des Opfers einschleusen, der dann mit den Berechtigungen des Opfers ausgeführt wird. Dies ermöglicht es ihm, beispielsweise Emails zu senden oder zu löschen.
Die eine Lücke betrifft die Auswertung bestimmter Email-Felder und die andere die Analyse von HTML-Code in Emails. Um die Lücken auszunutzen, muss der Angreifer dem Opfer lediglich eine speziell präparierte Email schicken, die dann über OWA gelesen wird.
|
Datum |
08.07.2008 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Exchange Server 2003, 2007 |
|
Auswirkung |
Rechteausweitung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS08-40: Rechteausweitung über SQL Server und SQL Komponenten
Vier Lücken in diversen Implementationen und Versionen der SQL-Datenbank von Microsoft erlauben es einem Angreifer, sich zusätzliche Rechte zu verschaffen. Betroffen sind nicht nur die reinen Server-Produkte der SQL-Datenbank sondern auch die diversen Desktop-Editionen und internen Datenbanken.
Die erste Lücke betrifft die Wiederverwendung von Speicherseiten. Diese werden vor einer erneuten Nutzung nicht initialisiert, so dass ein Nutzer unter Umständen auf Informationen eines anderen Nutzers zugreifen kann. Das Bulletin beschreibt nicht nur den Patch, sondern auch, wie man Rückstände in Datenbanken per SQL löscht. Ein Nutzer mit Berechtigung als Datenbankbetreiber könnte die nicht initialisierten Speicherseiten aus der Sitzung eines anderen Benutzers sammeln und als Datensicherung auf einem anderen Standort speichern.
Bei der Konvertierung von Zeichenfolgen prüft die entsprechende Routine der Eingabe nicht ausreichend, so dass ein Pufferüberlauf entstehen kann. In Folge kann spezieller Code des Angreifers ausgeführt werden. Dazu muss ein angemeldeter User lediglich die Konvertierungsroutine mit einem entsprechenden Ausdruck aufrufen.
Der SQL Server überprüft Datenstrukturen von Dateien nicht ausreichend. Die Folge ist ein Pufferüberlauf und die Ausführung beliebigen Codes. Dazu muss ein angemeldeter User lediglich den SQL Server anweisen, eine speziell gestaltete Datei zu laden.
Die letzte Lücke betrifft die Verarbeitung von INSERT-Statements. Diese werden nur unzureichend geprüft, so dass bei der Ausführung ein Pufferüberlauf entstehen kann.
|
Datum |
08.07.2008 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
SQL Server 7, 2000, 2005, 2005 Express Edition, MSDE 1.0, 2000, WMSDE, Windows Internal Database Service/WYukon |
|
Auswirkung |
Rechteausweitung, Informationspreisgabe, Code-Ausführung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |