Abo
  • Services:
Anzeige

Zwei weitere Sicherheits-Patches für Windows-Plattform

Sicherheitslücken erlauben die Ausführung von Programmcode

Wie Microsoft in zwei aktuellen Security Bulletins berichtet, enthalten zahlreiche Windows-Versionen vier Sicherheitslücken, wovon zwei als kritisch betrachtet werden. Zwei der gefährlichen Sicherheitslecks stecken in der HTML-Hilfe, die Bestandteil zahlreicher Windows-Funktionen ist. Die anderen beiden Sicherheitslücken sind Bestandteil der ZIP-Funktionen in einigen Windows-Ausführungen. Die als kritisch eingestuften Lecks erlauben die Kontrolle über ein fremdes System oder die Ausführung von Programmcode.

Anzeige

Die HTML-Hilfe in zahlreichen Windows-Versionen enthält einen ungeprüften Puffer, den ein Angreifer dazu nutzen kann, beliebigen Programmcode in der Sicherheitszone des betreffenden Systems auszuführen. Dazu kann der Angreifer die entsprechenden Befehle in eine Webseite oder eine HTML-E-Mail einbinden, so dass ein Opfer einen Angriff zunächst nicht bemerkt.

Ein weiteres Sicherheitsleck im Hilfesystem umgeht die Sicherheitseinschränkungen bei der Ausführung von HTML-Hilfe-Dateien, die Shortcuts enthalten. Eigentlich sollte das Hilfesystem nur vertrauenswürdige chm-Dateien ausführen, was jedoch von einem Angreifer umgangen werden kann. Dabei werden die Shortcuts in den betreffenden Dateien nicht mehr in der vom Nutzer gewählten Sicherheitszone geöffnet, sondern in der lokalen Zone ausgeführt. Dadurch erhält ein Angreifer weitgehende Kontrolle über ein befallenes System.

Die von Microsoft als moderat eingestufte Sicherheitslücke taucht nur auf Systemen mit Windows 98 und installiertem Plus-Paket sowie Windows Millennium und XP auf und betrifft den Umgang mit komprimierten ZIP-Archiven. Auf allen drei Systemen lassen sich ZIP-Archive wie gewöhnliche Verzeichnisse bearbeiten. Ein ungeprüfter Puffer steckt in den Entpack-Routinen, so dass ein Angreifer eine Datei mit einem speziell formatierten Dateinamen aufrufen kann, um darüber beliebigen Programmcode auszuführen. Ein weiteres Leck erlaubt es einem Angreifer ebenfalls über die Entpack-Routine, eine Programmdatei in einem bestimmten Verzeichnis abzulegen. So lässt sich etwa schädlicher Programmcode im Autostart-Verzeichnis ablegen, so dass dieser bei jedem Rechnerstart geladen wird.

Patches zur Stopfung der Sicherheitslücke in der Windows-Hilfe bietet Microsoft über das entsprechende Security Bulletin für Windows 98, NT 4.0, 2000 und XP zum Download an. Nutzer von Windows Millennium müssen den Patch über die Windows-Update-Funktion herunterladen.

Auch gegen die ZIP-Sicherheitslücke stellt Microsoft die Patches für Windows 98 mit installiertem Plus-Paket und Windows XP über das Security Bulletin zum Download bereit. Nutzer von Windows Millennium werden wieder auf das Windows-Update verwiesen.


eye home zur Startseite
KoTxE 07. Okt 2002

Ähm, gibt es schon eine deutsche XP-Version? Der weil sich die Englische ja nicht auf...



Anzeige

Stellenmarkt
  1. über Dr. Heimeier & Partner, Management- und Personalberatung GmbH, Stuttgart
  2. SYNLAB Holding Deutschland GmbH, Stuttgart, Tübingen
  3. Remira GmbH, Bochum
  4. Gamomat Distribution GmbH, Wagenfeld


Anzeige
Top-Angebote
  1. 39,00€ statt 62,99€
  2. 33,00€ statt 47,49€
  3. mit Gutscheincode PLUSFEB (max. Rabatt 50€)

Folgen Sie uns
       

  1. Sipgate

    App Satellite hat Probleme mit dem Vodafone-Netz

  2. AMDs Embedded-Pläne

    Ein bisschen Wunschdenken, ein bisschen Wirklichkeit

  3. K-1 Mark II

    Pentax bietet Sensorwechsel für seine Vollformat-DSLR an

  4. Ohrhörer

    Neue Airpods sollen Hey Siri unterstützen

  5. Amazon Go

    Sechs weitere kassenlose Supermärkte geplant

  6. Elektromobilität

    UPS arbeitet an elektrischem Lieferwagen

  7. VBB Fahrcard

    E-Ticket-Kontrolle am Prüfgerät wird in Berlin zur Pflicht

  8. Glasfaser

    M-net schließt weitere 75.000 Haushalte an

  9. Pwned Passwords

    Troy Hunt veröffentlicht eine halbe Milliarde Passworthashes

  10. Smach Z

    PC-Handheld nutzt Ryzen V1000



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Lebensmittel-Lieferservices: Für Berufstätige auf dem Lande oft "praktisch nicht nutzbar"
Lebensmittel-Lieferservices
Für Berufstätige auf dem Lande oft "praktisch nicht nutzbar"
  1. Kassenloser Supermarkt Technikfehler bei Amazon Go
  2. Amazon Go Kassenloser Supermarkt öffnet
  3. ThinQ LG fährt voll auf künstliche Intelligenz ab

Ryzen 5 2400G und Ryzen 3 2200G im Test: Raven Ridge rockt
Ryzen 5 2400G und Ryzen 3 2200G im Test
Raven Ridge rockt
  1. Ryzen V1000 und Epyc 3000 AMD bringt Zen-Architektur für den Embedded-Markt
  2. Raven Ridge AMD verschickt CPUs für UEFI-Update
  3. Krypto-Mining AMDs Threadripper schürft effizient Monero

Razer Kiyo und Seiren X im Test: Nicht professionell, aber schnell im Einsatz
Razer Kiyo und Seiren X im Test
Nicht professionell, aber schnell im Einsatz
  1. Stereolautsprecher Razer Nommo "Sind das Haartrockner?"
  2. Nextbit Cloud-Speicher für Robin-Smartphone wird abgeschaltet
  3. Razer Akku- und kabellose Spielemaus Mamba Hyperflux vorgestellt

  1. Re: am interessantesten ist folgender satz:

    Bautz | 09:47

  2. Re: Das funktioniert auf der ganzen Welt, nur im...

    Dwalinn | 09:46

  3. Re: Offenlegung Hut ab vor soviel Scheid...

    lgo | 09:44

  4. Re: Noch nie einen Fahrer gehabt der eine Karte...

    Dwalinn | 09:43

  5. Re: So So der Hersteller der Cheatengine ist also...

    crack_monkey | 09:43


  1. 09:23

  2. 08:40

  3. 08:02

  4. 07:46

  5. 07:38

  6. 07:17

  7. 18:21

  8. 18:09


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel