Sicherheitslücke in Outlook 98, 2000 und 2002

Outlook-Daten können über Webseite verändert werden

Wie Microsoft in dem aktuellen Security Bulletin MS01-038 eingesteht, enthalten die Versionen 98, 2000 und 2002 der PIM-Anwendung Outlook eine empfindliche Sicherheitslücke, die Angreifern die Veränderung von Outlook-Daten über eine Webseite ermöglicht. Ein Patch ist derzeit nicht verfügbar.

Artikel veröffentlicht am 13. Juli 2001, 10:34 Uhr, Ingo Pakalski

In Outlook lassen sich E-Mail-Verzeichnisse oder Kalender-Einträge über eine Webseite von unterwegs betrachten, was durch ein ActiveX-Control realisiert wird. Darüber sollten eigentlich nur Leseoperationen möglich sein. Durch ein Sicherheitsloch können aber auch Outlook-Daten verändert werden. Angreifer können so E-Mails löschen oder versenden, Termine verändern oder auch beliebigen Code auf dem entsprechenden PC ausführen.

Microsoft arbeitet derzeit an einem Patch, der aber noch nicht erhältlich ist. Bis zur Verfügbarkeit des Patches empfiehlt Microsoft, die Ausführung von ActiveX-Controls in der Internet-Zone zu deaktivieren und das Outlook E-mail Security Update zu installieren, das in Outlook 2002 bereits enthalten ist.

Microsoft hat die Sicherheitslücke nur für die Outlook-Versionen 98, 2000 und 2002 getestet, weil der Hersteller für frühere Versionen keinen Support mehr anbietet. Es ist also durchaus möglich, dass das Problem auch in früheren Versionen von Outlook auftritt. Einen Termin, wann der Patch erhältlich sein wird, verriet Microsoft nicht.