Abo
  • Services:

Zwei weitere Sicherheits-Patches für Windows-Plattform

Sicherheitslücken erlauben die Ausführung von Programmcode

Wie Microsoft in zwei aktuellen Security Bulletins berichtet, enthalten zahlreiche Windows-Versionen vier Sicherheitslücken, wovon zwei als kritisch betrachtet werden. Zwei der gefährlichen Sicherheitslecks stecken in der HTML-Hilfe, die Bestandteil zahlreicher Windows-Funktionen ist. Die anderen beiden Sicherheitslücken sind Bestandteil der ZIP-Funktionen in einigen Windows-Ausführungen. Die als kritisch eingestuften Lecks erlauben die Kontrolle über ein fremdes System oder die Ausführung von Programmcode.

Artikel veröffentlicht am ,

Die HTML-Hilfe in zahlreichen Windows-Versionen enthält einen ungeprüften Puffer, den ein Angreifer dazu nutzen kann, beliebigen Programmcode in der Sicherheitszone des betreffenden Systems auszuführen. Dazu kann der Angreifer die entsprechenden Befehle in eine Webseite oder eine HTML-E-Mail einbinden, so dass ein Opfer einen Angriff zunächst nicht bemerkt.

Stellenmarkt
  1. Otto-Friedrich-Universität Bamberg, Bamberg
  2. Haufe Group, Freiburg

Ein weiteres Sicherheitsleck im Hilfesystem umgeht die Sicherheitseinschränkungen bei der Ausführung von HTML-Hilfe-Dateien, die Shortcuts enthalten. Eigentlich sollte das Hilfesystem nur vertrauenswürdige chm-Dateien ausführen, was jedoch von einem Angreifer umgangen werden kann. Dabei werden die Shortcuts in den betreffenden Dateien nicht mehr in der vom Nutzer gewählten Sicherheitszone geöffnet, sondern in der lokalen Zone ausgeführt. Dadurch erhält ein Angreifer weitgehende Kontrolle über ein befallenes System.

Die von Microsoft als moderat eingestufte Sicherheitslücke taucht nur auf Systemen mit Windows 98 und installiertem Plus-Paket sowie Windows Millennium und XP auf und betrifft den Umgang mit komprimierten ZIP-Archiven. Auf allen drei Systemen lassen sich ZIP-Archive wie gewöhnliche Verzeichnisse bearbeiten. Ein ungeprüfter Puffer steckt in den Entpack-Routinen, so dass ein Angreifer eine Datei mit einem speziell formatierten Dateinamen aufrufen kann, um darüber beliebigen Programmcode auszuführen. Ein weiteres Leck erlaubt es einem Angreifer ebenfalls über die Entpack-Routine, eine Programmdatei in einem bestimmten Verzeichnis abzulegen. So lässt sich etwa schädlicher Programmcode im Autostart-Verzeichnis ablegen, so dass dieser bei jedem Rechnerstart geladen wird.

Patches zur Stopfung der Sicherheitslücke in der Windows-Hilfe bietet Microsoft über das entsprechende Security Bulletin für Windows 98, NT 4.0, 2000 und XP zum Download an. Nutzer von Windows Millennium müssen den Patch über die Windows-Update-Funktion herunterladen.

Auch gegen die ZIP-Sicherheitslücke stellt Microsoft die Patches für Windows 98 mit installiertem Plus-Paket und Windows XP über das Security Bulletin zum Download bereit. Nutzer von Windows Millennium werden wieder auf das Windows-Update verwiesen.



Anzeige
Top-Angebote
  1. (u. a. Vengeance LPX DDR4-3200 16 GB CL16-18-18-36 für 159,99€ statt ca. 195€ im...
  2. (u. a. HD143X FHD-Projektor für 399,99€ statt 479€ im Vergleich und UHD300X UHD-Projektor für...
  3. (u. a. Overwatch GOTY für 22,29€ und South Park - Der Stab der Wahrheit für 1,99€)
  4. 134,98€ (beide Artikel in den Warenkorb legen, um 60€ Direktabzug zu erhalten. Einzelpreise im...

KoTxE 07. Okt 2002

Ähm, gibt es schon eine deutsche XP-Version? Der weil sich die Englische ja nicht auf...


Folgen Sie uns
       


Alt gegen neu - Model M im Test

Das US-Unternehmen Unicomp bietet Tastaturen mit Buckling-Spring-Schalter an - so wie sie einst bei IBMs Model-M-Modellen verwendet wurden. Die Kunststoffteile sind zwar nicht so hochwertig wie die des Originals, die neuen Model Ms sind aber dennoch sehr gute Tastaturen.

Alt gegen neu - Model M im Test Video aufrufen
Hacker: Was ist eigentlich ein Exploit?
Hacker
Was ist eigentlich ein Exploit?

In Hollywoodfilmen haben Hacker mit Sturmmasken ein ganzes Arsenal von Zero-Day-Exploits, und auch sonst scheinen die kleinen Programme mehr und mehr als zentraler Begriff der IT-Sicherheit verstanden zu werden. Der Hacker Thomas Dullien hingegen versucht sich an einem theoretischen Modell eines Exploits.
Von Hauke Gierow

  1. IoT Foscam beseitigt Exploit-Kette in Kameras
  2. Project Capillary Google verschlüsselt Pushbenachrichtigungen Ende-zu-Ende
  3. My Heritage DNA-Dienst bestätigt Datenleck von 92 Millionen Accounts

Deutsche Siri auf dem Homepod im Test: Amazon und Google können sich entspannt zurücklehnen
Deutsche Siri auf dem Homepod im Test
Amazon und Google können sich entspannt zurücklehnen

In diesem Monat kommt der dritte digitale Assistent auf einem smarten Lautsprecher nach Deutschland: Siri. Wir haben uns angehört, was die deutsche Version auf dem Homepod leistet.
Ein Test von Ingo Pakalski

  1. Patentantrag von Apple Neues Verfahren könnte Siri schlauer machen
  2. Siri vs. Google Assistant Apple schnappt sich Googles KI-Chefentwickler
  3. Digitaler Assistent Apple will Siri verbessern

IT-Jobs: Fünf neue Mitarbeiter in fünf Wochen?
IT-Jobs
Fünf neue Mitarbeiter in fünf Wochen?

Startups müssen oft kurzfristig viele Stellen besetzen. Wir waren bei dem Berliner Unternehmen Next Big Thing dabei, als es auf einen Schlag Bewerber für fünf Jobs suchte.
Ein Bericht von Juliane Gringer

  1. Frauen in IT-Berufen Programmierte Klischees
  2. Bitkom Research Höherer Frauenanteil in der deutschen IT-Branche
  3. Recruiting IT-Experten brauchen harte Fakten

    •  /