Jeden zweiten Dienstag im Monat ist Microsoft Patch Day. An diesem Tag veröffentlicht der Software-Gigant aus Redmond eine Liste kritischer Bugs samt zugehöriger Fixes. Durch diesen festen Monatsrhythmus möchte man Systemadministratoren das Leben erleichtern und die Updates zu einer planbaren Größe im IT-Management machen.
Obwohl das SP2 für Windows XP erst wenige Wochen alt ist, finden sich auch dieses Mal eine Reihe von Fixes für XP in der Liste behobener Fehler. Aber auch Windows Server 2003, Windows 2000 und Windows NT sind betroffen. Dazu kommen Office und Exchange als Anwendungen und wieder einmal der Internet Explorer mit einigen erheblichen Lücken.
Für Letzteren gilt immer noch:
Surfen Sie nur mit einem eingeschränkten Account.
Schalten Sie aktive Inhalte (Script und ActiveX) nur für absolut vertrauenswürdige Sites frei.
Klicken Sie nicht auf jeden Link, insbesondere nicht auf Links aus dubiosen Quellen (etwa Spam-Mails).
Besuchen Sie wichtige Sites wie Online-Banking oder ähnliche nur über Bookmarks.
Wenn Ihnen das zu viel Mühe bereitet, steigen Sie besser auf einen anderen Browser um.
MS04-38: Kumulatives Sicherheits-Update für Internet Explorer
Gleich acht schwere Sicherheitslücken behebt das kumulative Update für den Internet Explorer.
1. Die erste Lücke beruht auf einem Pufferüberlauf in der Verarbeitung von Cascading Style Sheets. Dazu muss der Angreifer lediglich eine speziell präparierte Webseite erstellen und den Benutzer auf diese Seite locken. Durch Ausnutzen der Lücke kann er kompletten Systemzugriff und Programme mit den Rechten des angegriffenen Benutzers erhalten. Ein Angriff per HTML-E-Mail ist ebenfalls möglich.
2. Ein Fehler im Sicherheitszonenmodell ermöglicht es Angreifern, Scripts im Kontext der lokalen Zone laufen zu lassen. Auch hierfür muss der Angreifer eine spezielle Webseite erstellen und den Benutzer dorthin locken oder eine HTML-E-Mail an das Opfer schicken.
3. Die für die Installation von aktiven Komponenten zuständige Routine Inseng.dll weist einen ungeprüften Puffer auf, über den ein Angreifer beliebigen Code auf dem System ausführen kann. Voraussetzung dafür ist, dass die Ausführung von ActiveX -Komponenten erlaubt ist. Angriffsweg ist wiederum eine Webseite oder eine HTML-E-Mail.
4. Bei der Verarbeitung von Drag&Drop-Events tritt ein Fehler auf, der es Angreifern ermöglicht, beliebige Dateien auf dem System des Opfers abzuspeichern, unter anderem auch im Autostart-Ordner, so dass ein Programm beim nächsten Systemstart automatisch ausgeführt wird.
5. Auf Systemen mit Double Byte Character Set lässt sich die in der Adressleiste angezeigte URL so fälschen, dass sie nicht die tatsächlich besuchte Website anzeigt.
6. Wenn ein installiertes Plug-in den IE zu einer anderen Seite navigiert, ist es möglich, dass in der Adressleiste eine falsche URL angezeigt wird (URL-Spoofing).
7. Ein Fehler bei der Verarbeitung von Script-Befehlen in Image-Tags (IMG) ermöglicht es einem Angreifer, beliebige Dateien ohne Benutzerinteraktion auf der Festplatte abzulegen, unter anderem auch im Autostart-Ordner.
8. Bei der Validierung des Cache-Inhalts von SSL-geschützten Sites existiert ein Fehler, über den ein Angreifer beliebigen Script-Code im Kontext der SSL-Site ausführen lassen kann.
Falls Sie dieses kumulative Update bislang noch nicht eingespielt haben, sollten Sie das sofort nachholen. Eine entsprechende Update-Matrix finden Sie im Security-Bulletin.
Datum | 12.10.2004 |
|---|---|
| |
Warnstufe | Kritisch |
Betrifft | Alle Versionen des IE |
Auswirkung | Ausführung beliebigen Codes, Preisgabe von Informationen |
Work-around | Siehe Security-Bulletin |
Updates | Siehe Security-Bulletin |
CVE | CAN-2004-0842, CAN-2004-0727, CAN-2004-0216, CAN-2004-0839, CAN-2004-0844, CAN-2004-0843, CAN-2004-0841, CAN-2004-0845 |
MS04-37: Lücke in Windows-Shell
Zwei Sicherheitslücken adressiert dieses Security-Bulletin.
1. Über eine Schwachstelle in der Windows-Shell-Routine zum Start von Applikationen kann ein Angreifer beliebigen Code auf dem System ausführen. Dazu muss er das Opfer nur dazu bringen, eine speziell präparierte Website zu besuchen oder einen Link in einer HTML-E-Mail anzuklicken.
2. Der Programmgruppen-Konverter dient primär dazu, in Windows 3.x erstellte Programmgruppen-Dateien so umzuwandeln, dass sie in späteren Windows-Versionen auch genutzt werden können. Zusätzlich wird er von Windows-Setup und den Installations-Routinen für Applikationen verwendet. Ein ungeprüfter Puffer in diesem Programm lässt sich ausnutzen, beliebigen Code auf dem System auszuführen.
Hierbei muss der Angreifer das Opfer dazu bewegen, eine speziell präparierte Website zu besuchen oder einen Link in einer HTML-E-Mail anzuklicken. Optional kann er auch eine GRP-Datei an das Opfer senden, die es dann öffnen muss. Des Weiteren könnte er eine andere Applikation nutzen, die Parameter an die angreifbare Komponente sendet.
Datum | 12.10.2004 |
|---|---|
| |
Warnstufe | Kritisch |
Betrifft | Windows NT, Windows XP SP1, Windows 2000, Windows 2003 |
Auswirkung | Ausführung beliebigen Codes |
Work-around | Siehe Security-Bulletin |
Updates | Siehe Security-Bulletin |
CVE |
MS04-36: Fehler in NNTP
Die Betriebssystemkomponente zur Verarbeitung von NNTP-Anfragen weist einen Fehler auf, über den ein Angreifer beliebigen Code auf dem verwundbaren System ausführen kann.
Betroffen sind unter Umständen auch Systeme, die NNTP gar nicht benutzen, denn beispielsweise der Exchange-Server setzt voraus, dass die NNTP-Komponente eingeschaltet ist.
Datum | 12.10.2004 |
|---|---|
| |
Warnstufe | Kritisch |
Betrifft | Windows NT Server, Windows 2000 Server, Windows Server 2003, Exchange 2000 Server, Exchange Server 2003 |
Auswirkung | Ausführung beliebigen Codes |
Work-around | Siehe Security-Bulletin |
Updates | Siehe Security-Bulletin |
CVE |
MS04-35: Fehler in SMTP
Ein ungeprüfter Puffer bei der Verarbeitung von DNS-Abfragen ermöglicht einem Angreifer das Ausführen beliebigen Codes auf dem Server. Dazu muss er den Server nur dazu bringen, die Antwort auf bestimmte DNS-Anfragen abzuarbeiten.
Auf Windows Server 2003 und Windows XP 64 Bit wird der SMTP-Dienst per Default nicht installiert.
Datum | 12.10.2004 |
|---|---|
| |
Warnstufe | Kritisch |
Betrifft | Windows XP 64 Bit Edition 2003, Windows Server 2003, Exchange Server 2003 |
Auswirkung | Ausführung beliebigen Codes |
Work-around | Siehe Security-Bulletin |
Updates | Siehe Security-Bulletin |
CVE |
MS04-34: Fehler in ZIP-Ordnern
Ein ungeprüfter Puffer in der Routine zur Verarbeitung von komprimierten Daten (zipfldr.dll) lässt sich von einem Angreifer mittels speziell komprimierter Dateien ausnutzen, um beliebigen Code auf dem System auszuführen.
Dies betrifft nicht nur das Öffnen von Dateien im ZIP-Format, sondern lässt sich laut Security Bulletin auch per speziell gestalteter Webseite oder HTML-E-Mail ausnutzen.
Datum | 12.10.2004 |
|---|---|
| |
Warnstufe | Kritisch |
Betrifft | Windows XP, Windows Server 2003 |
Auswirkung | Ausführung beliebigen Codes |
Work-around | Siehe Security-Bulletin |
Updates | Siehe Security-Bulletin |
CVE |
MS04-33: Pufferüberlauf in Excel
Ein nicht näher spezifizierter Fehler bei der Verarbeitung von Parametern in Excel ermöglicht es einem Angreifer, die Kontrolle über das System zu übernehmen. Er muss allerdings das Opfer dazu bringen, eine speziell vorbereitete Excel-Datei zu öffnen.
Datum | 12.10.2004 |
|---|---|
| |
Warnstufe | Kritisch |
Betrifft | Office 2000, Office XP mit SP2, Office 2001 für Mac, Office v. X für Mac |
Auswirkung | Ausführung beliebigen Codes |
Work-around | Siehe Security-Bulletin |
Updates | Siehe Security-Bulletin |
CVE |
MS04-32: Sicherheits-Update für Windows
Vier teilweise kritische Lücken in Windows behebt dieses Update.
1. Ein lokaler Benutzer kann über einen Fehler in der API zur Verwaltung von Fenstern eine lokale Rechteausweitung erreichen. Grund ist, dass einige Funktionen der API es ermöglichen, die Eigenschaften von Programmen zu ändern, obwohl diese mit höheren Rechten laufen.
2. Die für virtuelle DOS-Maschinen zuständige Komponente lässt sich nutzen, um Zugriff auf geschützten Kernel-Speicher zu erhalten. In bestimmten Szenarien validieren einige privilegierte Funktionen Systemstrukturen nicht ausreichend, so dass ein lokaler Angreifer ein speziell erstelltes Programm mit Systemrechten laufen lassen kann.
3. Ein ungeprüfter Puffer bei der Verarbeitung von WMF- und EMF-Dateien kann zur Ausführung beliebigen Codes missbraucht werden. Dazu muss der Angreifer das Opfer dazu bringen, ein speziell vorbereitetes WMF-/EMF-Bild zu öffnen. Dieses kann beispielsweise auch in einer HTML-E-Mail eingebunden sein.
4. Eine nicht näher spezifizierte Lücke im Windows-Kernel lässt sich von einem lokalen Benutzer dazu nutzen, einen Denial-of-Service zu erzeugen. Er muss lediglich ein spezielles Programm starten, woraufhin Windows nicht mehr auf Anfragen reagiert und automatisch neu startet.
Datum | 12.10.2004 |
|---|---|
| |
Warnstufe | Kritisch |
Betrifft | Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003 |
Auswirkung | Rechteausweitung, Ausführung beliebigen Codes, Denial-of-Service |
Work-around | Siehe Security-Bulletin |
Updates | Siehe Security-Bulletin |
CVE |
MS04-31: Lücke in NetDDE
Ein ungeprüfter Puffer in der NetDDE, dem Vorläufer von DCOM, lässt sich von einem Angreifer mittels einer speziell angefertigten Nachricht dazu ausnutzen, beliebigen Code auf dem System auszuführen. NetDDE wird immer noch von der Zwischenablage verwendet, um Daten über das Netzwerk auszutauschen. Auch Excel greift in bestimmten Szenarien auf NetDDE zurück.
Datum | 12.10.2004 |
|---|---|
| |
Warnstufe | Kritisch |
Betrifft | Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003 |
Auswirkung | Ausführung beliebigen Codes |
Work-around | Siehe Security-Bulletin |
Updates | Siehe Security-Bulletin |
CVE |
MS04-30: Fehler im WebDAV XML Message Handler
Mittels einer speziell aufgebauten Anfrage an einen WebDAV-Server kann ein Angreifer den Dienst dazu zwingen, den gesamten Speicher zu belegen und die CPU zu 100 Prozent auszulasten. Der IIS auf dem betroffenen System muss neu gestartet werden, um die Funktionalität wieder herzustellen.
Datum | 12.10.2004 |
|---|---|
| |
Warnstufe | Wichtig |
Betrifft | Windows 2000, Windows XP, Windows Server 2003 |
Auswirkung | Denial-of-Service |
Work-around | Siehe Security-Bulletin |
Updates | Siehe Security-Bulletin |
CVE |
MS04-29: Lücke im RPC gibt Daten preis
Ein ungeprüfter Puffer in den RPC-Bibliotheken von Windows NT lässt sich von einem Angreifer ausnutzen, um aktive Speicherbereiche des Servers auszulesen oder das System zum Absturz zu bringen.
Datum | 12.10.2004 |
|---|---|
| |
Warnstufe | Wichtig |
Betrifft | Windows NT 4 |
Auswirkung | Denial-of-Service |
Work-around | Siehe Security-Bulletin |
Updates | Siehe Security-Bulletin |
CVE |