Dauerhafte Einträge
Sicherheitswarnung! Weitere Lücke in Internet Explorer 6 und 7 ermöglicht das Ausführen beliebigen Schadcodes
Microsoft warnt im Security Advisory 981374 (deutschsprachig) vor einer weiteren, jetzt bekannt gewordenen Sicherheitslücke in Internet Explorer 6, und Internet Explorer 7, über die sich beim Besuch einer entsprechend präparierten Website beliebiger Schadcode ausführen lässt (Remote Code Execution). Diese Sicherheitslücke besteht laut nicht im Windows Internet Explorer 8.
Ausnutzen lässt sich die Sicherheitslücke über einen Fehler in der "iepeers.dll". Diese Sicherheitslücke firmiert auch unter dem CVE-Namen CVE-2010-0806.
Ausnutzen lässt sich die Sicherheitslücke über einen Fehler in der "iepeers.dll". Diese Sicherheitslücke firmiert auch unter dem CVE-Namen CVE-2010-0806.
Sicherheitswarnung! Sicherheitslücke in Internet Explorer durch Aufruf von Hilfedateien (HLP) auf Webseiten via VBScript [Update]
Microsoft informiert in einem Eintrag im MSRC-Blog (Microsoft Security Response Center) über eine neu veröffentlichte, potenzielle Sicherheitslücke in allen Internet Explorer-Versionen, die über den (bislang) manuellen Aufruf von hlp-Dateien über die [F1]-Taste auf Webseiten zur Ausführung von Programmcode genutzt werden kann. Voraussetzungen für das Ausnutzen der Sicherheitslücke sind zum einen aktiviertes ActiveScripting (VBScript) im Internet Explorer und zum andern "alte" hlp-Dateien, die über die win32hlp.exe in einem PopUp-Fenster auf ener Website geöffnet werden. Wenn der Anwender hierbei die [F1]-Taste nicht drückt, ist die Lücke nach derzeitigem Kenntnisstand nicht ausnutzbar.
Microsoft schreibt im MSRC-Blog zwar davon, dass Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 von dieser potenziellen Lücke nicht betroffen sind. Allerdings läuft derzeit eine Rückfrage, inwieweit sich die Lücke möglicherweise auch dort ausnutzen lässt, falls die jeweils über das DownloadCenter zur Verfügung stehende, separate win32hlp.exe zum Öffnen alter hlp-Dateien auch unter diesen Windows-Versionen installiert wurde. Siehe hierzu MSKB-Artikel KB917607 bzw. speziell für Windows 7 den zugehörigen Artikel auf dieser kleinen Site. Daher gilt diese Sicherheitswarnung derzeit vorsorglich auch für den Internet Explorer 8 unter Windows 7.
[Update] Zwischenzeitlich hat Microsoft zur Lücke das Security Advisory 981169 (deutschsprachig) veröffentlicht. Weitere ausführlichere technische Details finden sich in einem Eintrag im Security Research & Defense-Blog von Microsoft. Diese Sicherheitslücke firmiert auch unter dem CVE-Namen CVE-2010-0483.[/Update]
Microsoft schreibt im MSRC-Blog zwar davon, dass Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 von dieser potenziellen Lücke nicht betroffen sind. Allerdings läuft derzeit eine Rückfrage, inwieweit sich die Lücke möglicherweise auch dort ausnutzen lässt, falls die jeweils über das DownloadCenter zur Verfügung stehende, separate win32hlp.exe zum Öffnen alter hlp-Dateien auch unter diesen Windows-Versionen installiert wurde. Siehe hierzu MSKB-Artikel KB917607 bzw. speziell für Windows 7 den zugehörigen Artikel auf dieser kleinen Site. Daher gilt diese Sicherheitswarnung derzeit vorsorglich auch für den Internet Explorer 8 unter Windows 7.
[Update] Zwischenzeitlich hat Microsoft zur Lücke das Security Advisory 981169 (deutschsprachig) veröffentlicht. Weitere ausführlichere technische Details finden sich in einem Eintrag im Security Research & Defense-Blog von Microsoft. Diese Sicherheitslücke firmiert auch unter dem CVE-Namen CVE-2010-0483.[/Update]
Sicherheitswarnung! Lücke in Internet Explorer ermöglicht das Auslesen von lokalen Dateien [Update]
Microsoft warnt im Security Advisory 980088 (deutschsprachig) vor einer neu bekannt gewordenen Sicherheitslücke in Internet Explorer (IE) 6, IE7 und IE8 unter allen unterstützten Windows Versionen (Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2), über die sich beim Besuch einer entsprechend präparierten Website Dateien aus dem lokalen System auslesen lassen (Informationsausspähung / Information Disclosure).
Ausnutzen lässt sich diese Sicherheitslücke über einen Fehler im "file://"-Potokoll, über welches auch über den Internet Explorer der Zugriff auf lokale Dateien ermöglicht wird. Ist der Speicherort einer lokal auf dem System liegenden Datei bekannt und wird der Pfad im UNC-Format angegeben und kommt auf einer präpartierten Website bestimmter JavaScript-Code zum Einsatz, lässt sich die Datei von außen auslesen. Diese Sicherheitslücke soll sich durch den "Geschützen Modus", in dem die "Internet"-Zone des Internet Explorer unter Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 standardmäßig ausgeführt wird, nach Microsoft-Angaben nicht ausnutzen lassen. Gleichwohl besteht die Sicherheitslücke grundsätzlich auch unter diesen Systemen, wenn der Internet Explorer zum Einsatz kommt bzw. Anwendungen auf dessen Mechanismen zurückgreifen.
Öffentlich bekannt gemacht wurde diese Sicherheitslücke auf der Black Hat Sicherheitskonferenz. Detaillierte technische Beschreibungen der Lücke finden sich u.a. bei "Core Security Technologies", bei der die Entdecker der Lücke Jorge Luis Álvarez Medina und Federico Muttis beschäftigt sind. Diese Sicherheitslücke firmiert auch unter dem CVE-Namen CVE-2010-0255.
Microsoft arbeitet nach eigenen Angaben an einem Sicherheitsupdate. [Update] In einem weiteren Eintrag im MSRC-Blog teilt Microsoft mit, dass mit der Veröffentlichung eines Sicherheitsupdates, welches diese Lücke schließen soll, nicht am 09. Februar 2010 zu rechnen sei, dem nächsten regulären Patch-Day (jeden zweiten Dienstag im Monat). [/Update]
Abhilfe bis zur Beseitigung der Sicherheitslücke:
Als wirkungsvollsten Workaround empfiehlt es sich ab Windows XP aufwärts, über den "Internet Explorer Network Protocol Lockdown"-Mechanismus das automatische Ausführen von ActiveScriping (u.a. JavaScript) und ActiveX über das file://-Protokoll zu unterbinden. Microsoft stellt hierzu im MS-KnowlegeBase-Artikel KB980088 eine halbautomatische "Fix it!"-Lösung bereit.
Alternativ empfiehlt Microsoft einmal mehr das Heraufsetzen der Sicherheitsstufe für die "Internet" und "Intranet"-Zonen auf "Hoch" in den Internetoptionen über "Sicherheit -> Stufe anpassen". Damit wird das Ausführen von JavaScript in den jeweiligen "Zonen" durch den Internet Explorer unterbunden.
Ausnutzen lässt sich diese Sicherheitslücke über einen Fehler im "file://"-Potokoll, über welches auch über den Internet Explorer der Zugriff auf lokale Dateien ermöglicht wird. Ist der Speicherort einer lokal auf dem System liegenden Datei bekannt und wird der Pfad im UNC-Format angegeben und kommt auf einer präpartierten Website bestimmter JavaScript-Code zum Einsatz, lässt sich die Datei von außen auslesen. Diese Sicherheitslücke soll sich durch den "Geschützen Modus", in dem die "Internet"-Zone des Internet Explorer unter Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 standardmäßig ausgeführt wird, nach Microsoft-Angaben nicht ausnutzen lassen. Gleichwohl besteht die Sicherheitslücke grundsätzlich auch unter diesen Systemen, wenn der Internet Explorer zum Einsatz kommt bzw. Anwendungen auf dessen Mechanismen zurückgreifen.
Öffentlich bekannt gemacht wurde diese Sicherheitslücke auf der Black Hat Sicherheitskonferenz. Detaillierte technische Beschreibungen der Lücke finden sich u.a. bei "Core Security Technologies", bei der die Entdecker der Lücke Jorge Luis Álvarez Medina und Federico Muttis beschäftigt sind. Diese Sicherheitslücke firmiert auch unter dem CVE-Namen CVE-2010-0255.
Microsoft arbeitet nach eigenen Angaben an einem Sicherheitsupdate. [Update] In einem weiteren Eintrag im MSRC-Blog teilt Microsoft mit, dass mit der Veröffentlichung eines Sicherheitsupdates, welches diese Lücke schließen soll, nicht am 09. Februar 2010 zu rechnen sei, dem nächsten regulären Patch-Day (jeden zweiten Dienstag im Monat). [/Update]
Abhilfe bis zur Beseitigung der Sicherheitslücke:
Als wirkungsvollsten Workaround empfiehlt es sich ab Windows XP aufwärts, über den "Internet Explorer Network Protocol Lockdown"-Mechanismus das automatische Ausführen von ActiveScriping (u.a. JavaScript) und ActiveX über das file://-Protokoll zu unterbinden. Microsoft stellt hierzu im MS-KnowlegeBase-Artikel KB980088 eine halbautomatische "Fix it!"-Lösung bereit.
Alternativ empfiehlt Microsoft einmal mehr das Heraufsetzen der Sicherheitsstufe für die "Internet" und "Intranet"-Zonen auf "Hoch" in den Internetoptionen über "Sicherheit -> Stufe anpassen". Damit wird das Ausführen von JavaScript in den jeweiligen "Zonen" durch den Internet Explorer unterbunden.
Sicherheitswarnung! Fehlerhafte Implementierung des SMB-Protokolls in Windows 7 ermöglicht DoS-Attacken
Microsoft warnt im Security Advisory 977544 (deutschsprachig) vor einer Sicherheitslücke in Windows 7, die über eine fehlerhafte Implementierung des Server Message Block-Protokolls (SMBv1 und SMBv2) DoS (Denial of Service)-Attacken auf Windows 7 ermöglicht, die zum Stillstand des Systems führen können.
Microsoft arbeitet nach eigenen Angaben an einem Sicherheitsupdate.
Inwieweit diese von Laurant Gaffié entdeckte und veröffentlichte Protokollschwäche in SMBv1 und SMBv2 von Windows 7 identisch mit der vom BSI/CERT-Bund gemeldeten und bislang unveröffentlichten SMBv2-Lücke u.a. in Windows 7 ist, lässt sich derzeit von außen nicht abschätzen.
Microsoft arbeitet nach eigenen Angaben an einem Sicherheitsupdate.
Inwieweit diese von Laurant Gaffié entdeckte und veröffentlichte Protokollschwäche in SMBv1 und SMBv2 von Windows 7 identisch mit der vom BSI/CERT-Bund gemeldeten und bislang unveröffentlichten SMBv2-Lücke u.a. in Windows 7 ist, lässt sich derzeit von außen nicht abschätzen.
Freitag, 16. Mai 2008
Sicherheitswarnung! Ausführen von Code bei aktivierter "Liste der Links drucken"-Option in IE6 und IE7
Es wird derzeit von einem "0-day exploit" berichtet, der eine unter Internet Explorer 6 (auch unter Windows XP SP3) und IE7 bestehende Sicherheitslücke ausnutzt und das Ausführen von beliebigem Code ermöglicht. Nicht betroffen ist die Finalversion des Windows Internet Explorer 8.
Um diese Lücke auszunutzen, muss im Druckdialog des Internet Explorers die Option "Liste der Links drucken" aktiviert sein bzw. werden, was standardmäßig nicht der Fall ist. Laut Endecker der Lücke ist Microsoft seit dem 13.05.2008 über diese Lücke informiert; an einem Update, das diese Lücke schließen soll, wird gearbeitet.
Abhilfe bis zum Erscheinen eines Sicherheitsupdates:
Deaktivieren Sie im Druckdialog des Internet Explorers die Option "Liste der Links drucken" bzw. lassen Sie die Option deaktiviert. Ferner ist der Windows Internet Explorer 8 (IE8) nicht von dieser Sicherheitslücke betroffen, so dass sich auch aus diesem Grund ein Umstieg auf den IE8 empfiehlt.
Um diese Lücke auszunutzen, muss im Druckdialog des Internet Explorers die Option "Liste der Links drucken" aktiviert sein bzw. werden, was standardmäßig nicht der Fall ist. Laut Endecker der Lücke ist Microsoft seit dem 13.05.2008 über diese Lücke informiert; an einem Update, das diese Lücke schließen soll, wird gearbeitet.
Abhilfe bis zum Erscheinen eines Sicherheitsupdates:
Deaktivieren Sie im Druckdialog des Internet Explorers die Option "Liste der Links drucken" bzw. lassen Sie die Option deaktiviert. Ferner ist der Windows Internet Explorer 8 (IE8) nicht von dieser Sicherheitslücke betroffen, so dass sich auch aus diesem Grund ein Umstieg auf den IE8 empfiehlt.
