Patch Day November 2005: Ein kritisches Update

Jeden zweiten Dienstag im Monat ist Microsoft Patch Day. An diesem Tag veröffentlicht der Software-Gigant aus Redmond eine Liste entdeckter Bugs samt zugehöriger Fixes. Durch einen festen Monatsrhythmus möchte man Systemadministratoren das Leben erleichtern und die Updates zu einer planbaren Größe im IT-Management machen.

Gab es im Oktober mit neun Updates ein wahre Schwemme, so ist es diesen Monat vergleichsweise ruhig: Lediglich ein Bulletin. Dieses betrifft allerdings wieder einmal, wenn auch indirekt, den Microsoft Internet Explorer..

Auch wenn Microsoft diesen Monat die schwere Lücke recht kurzfristig schließen konnte, gilt für den IE weiterhin:

• Surfen Sie nur mit einem eingeschränkten Account.

• Schalten Sie aktive Inhalte (Scripting und ActiveX) nur für absolut vertrauenswürdige Sites frei.

• Klicken Sie nicht auf jeden Link, insbesondere nicht auf Links aus dubiosen Quellen (etwa Spam-Mails).

• Besuchen Sie wichtige Sites wie Online-Banking oder Ähnliches nur über Bookmarks.

• Wenn Sie nicht unbedingt auf den Internet Explorer angewiesen sind, sollten Sie einen alternativen Browser in Erwägung ziehen.

MS05-053: WMF-Dateien erlauben Ausführung beliebigen Codes

Wie bereits im April 2004 geben Dateien im betagten Metafile-Format (WMF - Windows Metafile und EMF - Enhanced Metafile) Anlass zur Sorge.

Mehrere nicht ausreichend geprüfte Puffer bei der Verarbeitung von Bildern im WMF- EMF-Format ermöglichen es Angreifern, den Rechner abstürzen zu lassen oder gar beliebigen Code auszuführen.

Zwar ist das Metafile-Format so gut wie gar nicht mehr in Verwendung (außer in Clipart-Galerien von Microsoft Office beispielsweise), aber eine Gefahr stellt die Lücke dennoch dar, denn auch der Internet Explorer und Outlook greifen auf die entsprechende Betriebssystem-Komponente zur Darstellung dieser Dateien zurück.

Damit könnte ein Angreifer das Opfer auf eine speziell präparierte Web-Seite locken oder ihm eine Email mit eingebettetem WMF-Bild schicken, um die Lücke auszunutzen. Beim Browser gelten die auf der ersten Seite bereits angeführten Grundregeln. Im Falle von Outlook sollten Sie die Anzeige von Email von HTML auf Text umstellen und nur Emails aus vertrauenswürdigen Quellen im HTML-Modus betrachten.