Jeden zweiten Dienstag im Monat ist Microsoft Patch Day. An diesem Tag veröffentlicht der Software-Gigant aus Redmond eine Liste entdeckter Bugs samt zugehöriger Fixes. Durch einen festen Monatsrhythmus möchte man Systemadministratoren das Leben erleichtern und die Updates zu einer planbaren Größe im IT-Management machen.
Im Februar gab es sieben Bulletins, dieser Monat gehört mit gerade mal zwei Bulletins zu den ruhigen Tagen. Microsoft hält nur eine dieser Lücken für kritisch.
Zwar ist diesen Monat der Internet Explorer nicht vertreten, aber die Anzahl der Lücken ist immer noch erheblich. Wenn Sie weiterhin nicht auf den Browser verzichten können oder wollen:
-
Surfen Sie nur mit einem eingeschränkten Account.
-
Schalten Sie aktive Inhalte (Scripting und ActiveX) nur für absolut vertrauenswürdige Sites frei.
-
Klicken Sie nicht auf jeden Link, insbesondere nicht auf Links aus dubiosen Quellen (etwa Spam-Mails).
-
Besuchen Sie wichtige Sites wie Online-Banking oder Ähnliches nur über Bookmarks.
-
Wenn Sie nicht unbedingt auf den Internet Explorer angewiesen sind, sollten Sie einen alternativen Browser in Erwägung ziehen.
MS06-011: Rechteausweitung über Windows-Dienste
Bei einigen Windows-Diensten sind die Zugriffsrechte per Default auf einen derart niedrigen Level eingestellt, dass selbst ein Nutzer mit wenig Rechten die mit dem Dienst verbundenen Eigenschaften ändern kann.
Das bedeutet, dass er beispielsweise die betroffenen Dienste stoppen, das dazugehörige ausführbare Programm ändern und somit eigenen Code mit erweiterten Rechten laufen lassen kann. Dazu braucht der Angreifer jedoch einen gültigen lokalen Login. Unter Windows Server 2003 betrifft es Accounts, die zur Gruppe Network Configuration Operators gehören, und unter Windows XP SP1 alle Nutzer.
|
Datum |
14.03.2006 |
|---|---|
|
Warnstufe |
Wichtig |
|
Betrifft |
Windows XP SP1 und Windows Server 2003 |
|
Auswirkung |
Rechteausweitung |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
MS06-012: Lücken in Office erlauben Ausführung beliebigen Codes
Gleich eine ganze Reihe von Lücken in verschiedenen Office-Produkten erlauben es einem Angreifer, beliebigen Code auf dem System des Opfers auszuführen.
Fünf davon betreffen Excel und lassen sich sogar auf den Mac-Versionen von Office ausnutzen. Sie beruhen auf Validierungsfehlern, die über speziell aufgebaute Excel-Dateien zu einem Pufferüberlauf führen. Die sechste Lücke betrifft ein Workflow-Feature von Office, mit dem sich Dokumente in einer Gruppe von Benutzern weiterleiten lässt. Die Routing-Information wird im Dokument eingebettet und dann zur Weiterverteilung genutzt. Ist die Information fehlerhaft aufgebaut, kommt es zu einem Pufferüberlauf.
|
Datum |
14.03.2006 |
|---|---|
|
Warnstufe |
Kritisch |
|
Betrifft |
Office 2000 SP3, Office XP SP3, Excel 2003 SP2, Works Suite 2000 bis 2006, Excel X für Mac, Excel 2004 für Mac |
|
Auswirkung |
Ausführung beliebigen Codes |
|
Workaround |
siehe Security-Bulletin |
|
Updates |
siehe Security-Bulletin |
|
CVE |
CAN-2005-4131, CAN-2006-0028, CAN-2006-0029, CAN-2006-0030, CAN-2006-0031, CAN-2006-0009 |