Jeden zweiten Dienstag im Monat ist Microsoft Patch Day. An diesem Tag veröffentlicht der Software-Gigant aus Redmond eine Liste entdeckter Bugs samt zugehöriger Fixes. Durch einen festen Monatsrhythmus möchte man Systemadministratoren das Leben erleichtern und die Updates zu einer planbaren Größe im IT-Management machen.
Im Dezember beseitigt Microsoft drei kritische und vier wichtige Sicherheitslücken. Betroffen ist auch diesmal wieder das Dauer-Sorgenkind Internet Explorer. Die restlichen Updates betreffen Visual Studio 2005, den Windows Media Player und das Betriebssystem selbst.
Die hoch kritische Sicherheitslücke in Word (tecCHANNEL berichtete) wird allerdings nicht beseitigt. Die Lücke wird allerdings bereits massiv ausgenutzt. Bis ein Patch erscheint sollten Sie daher nur vertrauenswürdige Word-Dateien öffnen.
MS06-072: Kumulatives Update für den Internet Explorer
Das Update für den Internet Explorer beseitigt vier aktuelle Sicherheitslücken. Im schlimmsten Fall können Sie genutzt werden, um auf dem angegriffenen System beliebigen Code auszuführen.
Im Internet Explorer 6 wurde eine Lücke bei der Freigabe von Speicher gefunden. Angreifer konnten beliebigen Code über spezielle Scripte ausführen. Bestimmte DHTML-Scripte enthalten ebenfalls einen Fehler, über den sich Code auf dem System ausführen lässt.
Zwei weitere Sicherheitslücken treten in den temporären Dateien des IE auf (Temporary Internet Files = TIF). Nutzt ein Angreifer diese Lücken, kann er an sensitive Informationen gelangen.
Der aktuelle Internet Explorer 7 ist von den Lücken nicht betroffen.
|
Datum |
13.12.2006 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Windows 2000 SP4, XP SP2, XP 64, Server 2003 SP1, Server 2003 64-Bit Edition |
|
Auswirkung |
Ausführen beliebigen Codes, Enthüllung sensitiver Informationen |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS06-073: Visual Studio 2005 ermöglicht das Ausführen von Code
Der WMI-Assistent in Visual Studion 2005 nutzt die ActiveX-Kontrolle WMI Object Broker. Diese enthält eine kritische Schwachstelle.
Lockt ein Angreifer einen Nutzer auf eine speziell präparierte Website, kann er die Lücke ausnutzen und Zugriff auf das System erhalten.
Die Lücke betrifft folgende Visual Studio 2005-Produkte:
-
Visual Studio 2005 Standard Edition
-
Visual Studio 2005 Professional Edition
-
Visual Studio 2005 Team Suite
-
Visual Studio 2005 Team Edition for Developers
-
Visual Studio 2005 Team Edition for Architects
-
Visual Studio 2005 Team Edition for Testers
|
Datum |
13.12.2006 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Visual Studio 2005 Standard Edition, Professional Edition, Team Suite, Team Edition for Developers, Team Edition for Architects, Team Edition for Testers |
|
Auswirkung |
Ausführen beliebigen Codes, |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS06-078: Kritische Lücke im Windows Media Player
Das Update beseitigt zwei Lücken im Windows Media Player. Über beide können Angreifer beliebigen Code ausführen, wenn der aktuelle Nutzer über administrative Rechte verfügt.
Die erste Angriffsmöglichkeit entsteht durch einen Fehler in der Windows Media Format Runtime. Dank eines Pufferüberlaufs können Angreifer die Lücke nutzen, wenn der Nutzer eine speziell erstellte Datei vom Typ Advanced Systems Format (ASF)öffnet.
Die zweite Sicherheitslücke entsteht durch einen heap-basierten Pufferüberlauf in der Funktion WMCheckURLScheme in der Bibliothek WMVCORE.DLL. Angreifer können die Schwachstelle nutzen, um über speziell erstellte ASX-Playlists einen Denial of Service auzulösen oder um Zugriff auf das System zu erhalten.
Von der Lücke sind folgende Systeme nicht betroffen:
-
Windows Vista
-
Microsoft Windows 2003 For Itanium-Based Systems
-
Windows Server 2003 with SP1 for Itanium-based Systems
-
Windows Media Player, Version 11
|
Datum |
13.12.2006 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Windows 2000 SP4, XP SP2, XP 64, Server 2003 SP1, Server 2003 64-Bit Edition |
|
Auswirkung |
Ausführen beliebigen Codes, Denial of Service |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS06-074: Lücke in SNMP erlaubt das Ausführen von Code
Im SNMP-Dienst, enthalten in allen aktuellen Windows-Versionen, wurde eine Sicherheitslücke entdeckt. Nutzt ein Angreifer die Lücke aus, kann er Zugriff auf das System erhalten.
SNMP ist zwar in jeder Windows-Version enthalten, wird aber nicht automatisch installiert. Als Workaround empfiehlt Microsoft, den Management-Zugriff auf bestimmte IP-Adressen zu beschränken.
Windows Vista ist von der Schwachstelle nicht betroffen.
|
Datum |
13.12.2006 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Windows 2000 SP4, XP SP2, XP 64, Server 2003 SP1, Server 2003 64-Bit Edition |
|
Auswirkung |
Ausführen beliebigen Codes |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS06-075: Rechteausweitung in Windows
Windows enthält eine Schwachstelle, über die Nutzer ihre eigenen Rechte ausweiten können. Möglich wird dass, da Windows Programme und Dateien mit bestimmten File Manifests startet.
Um die Lücke ausnutzen zu können, muss sich der Angreifer zuvor regulär am System anmelden und Programme ausführen dürfen.
Von der Lücke sind folgende Versionen von Windows betroffen:
-
Microsoft Windows XP Service Pack 2
-
Microsoft Windows Server 2003
-
Microsoft Windows Server 2003 for Itanium-based Systems
|
Datum |
13.12.2006 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Windows XP SP2, Server 2003 |
|
Auswirkung |
Rechteausweitung |
|
Workaround |
Nicht verfügbar |
|
Updates |
|
|
CVE |
MS06-076: Kumulatives Update für Outlook Express
Outlook Expresse enthält eine Schwachstelle, über die Angreifer Zugriff auf das System erhalten können. Die Lücke entsteht bei der Verarbeitung speziell präparierter Windows Adressbuchdateien. Öffnet ein Nutzer mit administrativen Rechten so eine Datei, kann der Angreifer kompletten Zugriff auf das Betriebssystem erhalten.
Als Workaround empfiehlt Microsoft die Verknüpfung der WAB-Dateien mit Outlook Express aufzuheben. Windows Vista sowie die Office-Versionen von Outlook sind von der Lücke laut Microsoft nicht betroffen.
|
Datum |
13.12.2006 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Windows 2000 SP4, XP SP2, XP 64, Server 2003 SP1, Server 2003 64-Bit Edition |
|
Auswirkung |
Ausführen beliebigen Codes |
|
Workaround |
|
|
Updates |
|
|
CVE |
MS06-077: Fehler im Remote-Installations-Dienst
Der Remote Installation Service (RIS) von Windows 2000 SP 4 enthält einen Fehler. Der Dienst startet einen TFTP-Server, der anonyme Verbindungen zulässt. Anschließend können diese dann Systemdateien überschreiben oder beliebigen Code einspeisen. Angreifer können so beispielsweise die installierbaren Betriebssysteme, die der RIS-Server anbietet, verändern.
Als Workaround empfiehlt Microsoft, dem TFTP-Dienst über die Registry lediglich einen Lesezugriff einzuräumen.
Von der Lücke ist lediglich Windows 2000 SP4 betroffen.
|
Datum |
13.12.2006 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Windows 2000 SP4 |
|
Auswirkung |
Ausführen beliebigen Codes |
|
Workaround |
|
|
Updates |
|
|
CVE |