The Day after Patch-Day: Was Microsoft nicht gepatcht hat

SANS listet dabei insgesamt sieben bekannte Schwachstellen auf. Vier davon betiteln sie als wichtig. Die beiden ältesten davon wurden am 20. Oktober 2006 entdeckt. Diese sind eine weniger kritische Schwachstelle in Powerpoint 2003 und eine für Server kritische Lücke in „Microsoft Windows NAT Helper Components“. Seit 16. November 2006 sind Schwachstellen in „RPC in Windows 2000 SP4 UPnP and SPOOLS“ bekannt (hier und hier). Auch hierfür gibt es öffentlichen Code für einen Angriff. Alle bisher genannten lassen sich für so genannte Denial-of-Service-Attacken ausnutzen.

Seit 15. Dezember 2006 ist eine Sicherheitslücke in „MessageBox()“ aufgetaucht. Diese betrifft XP, 2003 und Vista. Damit könnte ein Angreifer seine Rechte ausweiten. Es exisitieren funktionierende Proof-of-Concept-Exploits. Zehn Tage später fand man eine Schwachstelle in „NetrWkstaUserEnum()“. Am 4. Januar dieses Jahres fand man eine weitere Lücke im Internet-Explorer. Ein aktiv ausgenutzte, hoch kritische Schwachstelle in Word 2000 ist seit 9. Februar 2007 bekannt. Diese erlaubt, wie der neueste 0-Day-Exploit in Word, das Ausführen beliebigen Codes auf einem System. (jdo)

Sie interessieren sich für IT-Security? Über aktuelle Sicherheitslücken informieren Sie die Security-Reports von tecCHANNEL in Kooperation mit Secunia. Sie können diesen Dienst auch als kostenlosen Newsletter oder als tägliche tecCHANNEL Security Summary abonnieren. Premium-Kunden haben zudem die Möglichkeit, sich bei hoch kritischen Lücken per Security Alert informieren zu lassen.