Abo
  • Services:

Microsofts monatlicher Patch-Day wieder im Wochenrhythmus?

Security Bulletin für Februar 2004 neu aufgelegt; Patches für Windows-Versionen

Der ursprüngliche Plan von Microsoft - im Zuge einer neuen Sicherheitsstrategie Patches nur noch an einem monatlichen Patch-Day zu veröffentlichen - wurde offenbar aufgegeben. Denn nach nur einer Woche erschien das Security Bulletin für den Monat Februar 2004 noch einmal: Neben drei Sicherheitslöchern im Internet Explorer werden darin zwei weitere Sicherheitslecks in Windows behoben.

Artikel veröffentlicht am ,

Die ASN.1-Library von Windows NT 4.0 in der Workstation- und Server-Ausführung, in Windows 2000, XP und Server 2003 weist ein Sicherheitsloch auf, worüber Angreifer Programmcode mit Systemrechten auf einem fremden Rechner ausführen können. Ferner lassen sich darüber Programme installieren, Daten einsehen, ändern oder löschen sowie neue Benutzerkonten mit Administratorrechten anlegen. Die ASN.1-Library wird von zahlreichen Verschlüsselungs- und Sicherheitsprotokollen verwendet, wie etwa Kerberos, der NTLMv2 Authentifikation, SSL, digital signierten E-Mails oder auch von signierten ActiveX-Controls. Angreifer können über die entsprechenden Protokolle fremde Rechner angreifen und weitestgehend unter ihre Kontrolle bringen. Zur Ausnutzung des Sicherheitslochs benötigt ein Angreifer direkten Zugriff auf das Netzwerk eines möglichen Opfers. Entsprechende Patches für Windows NT 4.0 in der Workstation- und Server-Version, für Windows 2000, XP und Server 2003 stehen ab sofort zum Download bereit. Microsoft wurde bereits Mitte Juli 2003 über dieses Sicherheitsloch von den Experten von eEye informiert, brauchte aber mehr als sechs Monate zur Bereitstellung entsprechender Patches.

Stellenmarkt
  1. Zweckverband Kommunale Datenverarbeitung Region Stuttgart, Stuttgart
  2. über duerenhoff GmbH, Stuttgart

Eine weitere Sicherheitslücke befindet sich ausschließlich in den Server-Varianten von Windows und erlaubt einem Angreifer, unter Windows Server 2003 eine DoS-Attacke auszuführen. Das Sicherheitsleck steckt im WINS-Dienst (Windows Internet Naming Service) und der Methode, besonders gestaltete Pakete zu überprüfen, wobei entsprechend formatierte Pakete den WINS-Server zum Stillstand bringen können, so dass der Dienst manuell neu gestartet werden muss. Perfiderweise ist eine Sicherheitsfunktion in Windows Server 2003 für dieses Verhalten verantwortlich, welches Versuche zur Ausnutzung eines stack-basierten Pufferüberlaufs erschweren soll. Allerdings kann diese Sicherheitsfunktion dazu gebracht werden, den entsprechenden Dienst zu beenden. Microsoft schließt nicht aus, dass in Zukunft Möglichkeiten bekannt werden, diese Sicherheitsfunktion dazu zu missbrauchen, Programmcode auf einem entsprechenden Server auszuführen und rät daher dringend zur Installation des bereitgestellten Patches.

Unter Windows-NT- und 2000-Server weist WINS entsprechend gestaltete Pakete zurück, so dass es zu keiner DoS-Attacke kommt. Auch eine mögliche Programmausführung ist nach Microsofts Auskunft ausgeschlossen, weshalb die Gefahr als gering bewertet wird. Dennoch stellt Redmond auch für die Server-Versionen von Windows NT und 2000 passende Patches zum Download bereit. Zeitgleich mit diesen Patches stellte Microsoft auch einen Patch für Virtual PC für MacOS bereit und veröffentlichte die Informationen zu den drei Sicherheitslöchern im Internet Explorer aus der vergangenen Woche erneut.

Gemäß der neuen Sicherheitsstrategie vom Oktober 2003 wollte Microsoft eigentlich die Verwirrung um Patches für Produkte aus Redmond entwirren und hatte angekündigt, Patches nur noch einmal im Monat zu veröffentlichen. Zumindest der aktuelle Monat lässt aber jede Art von Übersicht vermissen: So hat Microsoft den monatlichen Patch-Day mit einem entsprechenden Security Bulletin in der vergangenen Woche überraschenderweise um rund sieben Tage vorverlegt, um dieses Bulletin nun erneut zu veröffentlichen, ohne allerdings die entsprechenden Info-Mails zu aktualisieren. Denn in den E-Mail-Benachrichtigungen tragen beide "Security Bulletin Summaries for February 2004" die Versionsnummer 1.0, so dass man die vorgenommenen Änderungen an den Bulletins leicht übersieht. Erst bei Aufruf der entsprechenden Webseite informiert Microsoft darüber, dass es sich bereits um die Version 2.0 des Security Bulletin handelt, was derzeit allerdings nur für die englischsprachige Ausführung gilt; das deutschsprachige Dokument trägt noch die Versionsnummer 1.3.



Anzeige
Spiele-Angebote
  1. (mindestens 16,15€ bezahlen und Vegas Pro 14 EDIT und Magix Video Sound Cleaning Lab erhalten)
  2. 4,95€
  3. 59,99€
  4. 26,99€

keinPlan 12. Feb 2004

hat meines wissens auch paar sicherheitslücken .... Sicherheitslücken ... wie soll ichs...

Torsten 12. Feb 2004

Naja Alias schein ja zum Verkauf zu stehen .. der wahrscheinliche Käufer will noch nicht...

jaydee 12. Feb 2004

du wirst lachen: Ich hatte seinerzeit mal nen G3 bondi-blue... geiles Gerät - so habe...

hyper 12. Feb 2004

Ein wahres Wort. Mein Sys läuft jetzt 2 Jahre mit WinME, und ich kann mich ehrlich gesagt...

Anonymous 12. Feb 2004

Software wird veröffentlicht bevor sie fertig ist... Ja, denn ein richtig dickes...


Folgen Sie uns
       


Steam Spy vor dem Aus - Bericht

Das Tool Steam Spy kann nach Valves Änderungen bei den Privatsphäre-Einstellungen des Onlineshops nach Angaben des Erfinders nicht länger funktionieren.

Steam Spy vor dem Aus - Bericht Video aufrufen
Dell XPS 13 (9370) im Test: Sehr gut ist nicht besser
Dell XPS 13 (9370) im Test
Sehr gut ist nicht besser

Mit dem XPS 13 (9370) hat Dell sein bisher exzellentes Ultrabook in nahezu allen Bereichen überarbeitet - und es teilweise verschlechtert. Der Akku etwa ist kleiner, das spiegelnde Display nervt. Dafür überzeugen die USB-C-Ports, die Kühlung sowie die Tastatur, und die Webcam wurde sinnvoller.
Ein Test von Marc Sauter und Sebastian Grüner

  1. Ultrabook Dell hat das XPS 13 ruiniert
  2. XPS 13 (9370) Dells Ultrabook wird dünner und läuft kürzer
  3. Ultrabook Dell aktualisiert XPS 13 mit Quadcore-Chip

Xperia XZ2 Compact im Test: Sonys kompaktes Top-Smartphone bleibt konkurrenzlos
Xperia XZ2 Compact im Test
Sonys kompaktes Top-Smartphone bleibt konkurrenzlos

Sony konzentriert sich beim Xperia XZ2 Compact erneut auf die alte Stärke der Serie und steckt ein technisch hervorragendes Smartphone in ein kompaktes Gehäuse. Heraus kommt ein kleines Gerät, das kaum Wünsche offenlässt und in dieser Größenordnung im Grunde ohne Konkurrenz ist.
Ein Test von Tobias Költzsch

  1. Xperia XZ2 Premium Sony stellt Smartphone mit lichtempfindlicher Dualkamera vor
  2. Sony Grundrauschen an Gerüchten über die Playstation 5 nimmt zu
  3. Playstation Sony-Chef Kaz Hirai verabschiedet sich mit starken Zahlen

Facebook-Anhörung: Zuckerbergs Illusion von der vollen Kontrolle
Facebook-Anhörung
Zuckerbergs Illusion von der vollen Kontrolle

In einer mehrstündigen Anhörung vor dem US-Senat hat Facebook-Chef Mark Zuckerberg sein Unternehmen verteidigt. Doch des Öfteren hinterließ er den Eindruck, als wisse er selbst nicht genau, was er in den vergangenen Jahren da geschaffen hat.
Eine Analyse von Friedhelm Greis

  1. Facebook Messenger Zuckerbergs Nachrichten heimlich auf Nutzerkonten gelöscht
  2. Böswillige Akteure Die meisten der zwei Milliarden Facebook-Profile ausgelesen
  3. DSGVO Zuckerberg will EU-Datenschutz nicht weltweit anwenden

    •  /