Dienstag, 9. März 2010
Sicherheitswarnung! Weitere Lücke in Internet Explorer 6 und 7 ermöglicht das Ausführen beliebigen Schadcodes [3. Update]
Microsoft warnt im Security Advisory 981374 (deutschsprachig) vor einer weiteren, jetzt bekannt gewordenen Sicherheitslücke in Internet Explorer 6, und Internet Explorer 7, über die sich beim Besuch einer entsprechend präparierten Website beliebiger Schadcode ausführen lässt (Remote Code Execution). Diese Sicherheitslücke besteht laut nicht im Windows Internet Explorer 8.
Ausnutzen lässt sich die Sicherheitslücke über einen Fehler in der "iepeers.dll". Diese Sicherheitslücke firmiert auch unter dem CVE-Namen CVE-2010-0806.
[2. Update] Aufgrund der Tatsache, dass die Anzahl der Versuche zur Ausnutzung dieser Sicherheitslücke in jüngster Vergangenheit zugenommen haben, kündigt Microsoft die Veröffentlichung eines kumulativen Sicherheitsupdates u.a. für die von dieser Sicherheitslücke betroffenen Internet Explorer-Versionen für den 30. März 2010 (ca. 20 Uhr MESZ) an. Es handelt sich dabei um das kumulative Sicherheitsupdate, das ursprünlich am nächsten regulären Patchday am 13. April 2010 veröffentlicht werden sollte. Unabhängig von der hier beschriebenen Sicherheitslücke, werden auch die kumulativen Sicherheitsupdates für alle Internet Explorer-Versionen, also auch Internet Explorer 8, vorzeitig außer der Reihe ("Out-of-Band") am 30. März 2010 veröffentlicht werden, welche weitere Sicherheitslücken beseitigen sollen. Die Microsoft Security bulletin Nummer, in der das kumulative Sicherheitsupdate en detail beschrieben werden wird, trägt voraussichtlich die Nummer MS10-018. [/2. Update]
[3. Update]
Wie angekündigt, wurde diese Sicherheitsöücke durch das Kumulative Sicherheitsupdate KB980182 (MS10-018) behoben, das am 30.03.2010 außer der Reihe von Microsoft veröffentlicht wurde. Siehe hierzu Security Bulletin MS10-018 (englisch bzw. deutsch) sowie die Artikel zum Sicherheitsupdate für IE6 SP1 unter Windows 2000, Internet Explorer 7 unter Windows XP und Internet Explorer 6 in Windows XP SP3. [/3. Update]
Ausnutzen lässt sich die Sicherheitslücke über einen Fehler in der "iepeers.dll". Diese Sicherheitslücke firmiert auch unter dem CVE-Namen CVE-2010-0806.
[2. Update] Aufgrund der Tatsache, dass die Anzahl der Versuche zur Ausnutzung dieser Sicherheitslücke in jüngster Vergangenheit zugenommen haben, kündigt Microsoft die Veröffentlichung eines kumulativen Sicherheitsupdates u.a. für die von dieser Sicherheitslücke betroffenen Internet Explorer-Versionen für den 30. März 2010 (ca. 20 Uhr MESZ) an. Es handelt sich dabei um das kumulative Sicherheitsupdate, das ursprünlich am nächsten regulären Patchday am 13. April 2010 veröffentlicht werden sollte. Unabhängig von der hier beschriebenen Sicherheitslücke, werden auch die kumulativen Sicherheitsupdates für alle Internet Explorer-Versionen, also auch Internet Explorer 8, vorzeitig außer der Reihe ("Out-of-Band") am 30. März 2010 veröffentlicht werden, welche weitere Sicherheitslücken beseitigen sollen. Die Microsoft Security bulletin Nummer, in der das kumulative Sicherheitsupdate en detail beschrieben werden wird, trägt voraussichtlich die Nummer MS10-018. [/2. Update]
[3. Update]
Wie angekündigt, wurde diese Sicherheitsöücke durch das Kumulative Sicherheitsupdate KB980182 (MS10-018) behoben, das am 30.03.2010 außer der Reihe von Microsoft veröffentlicht wurde. Siehe hierzu Security Bulletin MS10-018 (englisch bzw. deutsch) sowie die Artikel zum Sicherheitsupdate für IE6 SP1 unter Windows 2000, Internet Explorer 7 unter Windows XP und Internet Explorer 6 in Windows XP SP3. [/3. Update]
Abhilfe bis zur Beseitigung der Sicherheitslücke durch ein Sicherheitsupdate:
Die für den Endanwender einfachste und effizienteste Besietigung dieser Sicherheitslücke besteht darin, den ohnehin empfehlenswerten Windows Internet Explorer 8 zu installieren.
[1. Update] Unter Windows 2000, für das kein IE8 verfügbar ist, oder in den Fällen, in denen aus sonstigen Gründen kein Upgrade auf den IE8 in Frage kommt, empfiehlt Microsoft im Security Advisory 981374 an erster Stelle mittlerweile als Workaround bis zur Beseitigung der Sicherheitslücke durch ein Sicherheitsupdate, die "PeerFactory Class" der iepeers.dll über das Löschen des zugehörigen Registry-Schlüssels HKEY_CLASSES_ROOT\CLSID\{3050F4CF-98B5-11CF-BB82-00AA00BDCE0B}, vorzugsweise nachdem dieser zuvor exportiert und damit gesichert wurde.
Für diesen Zweck steht auf dieser kleine Site die IE6_7-Advisory981374.zip zum Download zur Verfügung. Sie enthält nach dem Auspacken die "disablePeersFactoryClass_Advisory981374.reg" zur Entfernung der "PeersFactory Class" aus der Registry und die "re-enablePeersFactoryClass_Advisory981374.reg" zum Wiedereintrag der Registry-Standardwerte für die "PeersFactory Class". Diese REG-Dateien können z.B. über einen Doppelklick in die Registry importiert werden, Adminrechte des angemeldeten Benutzers vorausgesetzt. [/1. Update]
Die für den Endanwender einfachste und effizienteste Besietigung dieser Sicherheitslücke besteht darin, den ohnehin empfehlenswerten Windows Internet Explorer 8 zu installieren.
[1. Update] Unter Windows 2000, für das kein IE8 verfügbar ist, oder in den Fällen, in denen aus sonstigen Gründen kein Upgrade auf den IE8 in Frage kommt, empfiehlt Microsoft im Security Advisory 981374 an erster Stelle mittlerweile als Workaround bis zur Beseitigung der Sicherheitslücke durch ein Sicherheitsupdate, die "PeerFactory Class" der iepeers.dll über das Löschen des zugehörigen Registry-Schlüssels HKEY_CLASSES_ROOT\CLSID\{3050F4CF-98B5-11CF-BB82-00AA00BDCE0B}, vorzugsweise nachdem dieser zuvor exportiert und damit gesichert wurde.
Für diesen Zweck steht auf dieser kleine Site die IE6_7-Advisory981374.zip zum Download zur Verfügung. Sie enthält nach dem Auspacken die "disablePeersFactoryClass_Advisory981374.reg" zur Entfernung der "PeersFactory Class" aus der Registry und die "re-enablePeersFactoryClass_Advisory981374.reg" zum Wiedereintrag der Registry-Standardwerte für die "PeersFactory Class". Diese REG-Dateien können z.B. über einen Doppelklick in die Registry importiert werden, Adminrechte des angemeldeten Benutzers vorausgesetzt. [/1. Update]
Kommentare
Ansicht der Kommentare:
(Linear | Verschachtelt)
Die Kommentarfunktion wurde vom Besitzer dieses Blogs in diesem Eintrag deaktiviert.
Kurzbeschreibung: Wichtiges, kumulatives Sicherheitsupdate, das u.a. eine kritische Lücke im in Windows XP SP3 standardmäßig enthaltenen Internet Explorer 6 schließen soll, durch die ein [...]
Aufgenommen: 30.03.2010 18:37
Kurzbeschreibung: Wichtiges, kumulatives Sicherheitsupdate, das eine kritische Lücke im Windows Internet Explorer 7 unter Windows XP schließen soll, durch die ein Angreifer in Windows-Systeme [...]
Aufgenommen: 30.03.2010 18:55
Kurzbeschreibung: Wichtiges, kumulatives Sicherheitsupdate, das u.a. eine kritische Lücke in Internet Explorer 6 SP1 unter Windows 2000 schließen soll, durch die ein Angreifer in [...]
Aufgenommen: 30.03.2010 19:08