Abo
  • Services:
Anzeige

Microsoft beseitigt schweres Sicherheitsleck vom Januar 2004

Sicherheits-Patch für die Windows-Shell endlich erschienen

Nach einer langen Wartezeit von knapp einem halben Jahr bietet Microsoft nun endlich einen Patch für eine schwere Sicherheitslücke vom Januar 2004 an, nachdem das Unternehmen in den vergangenen Monaten fünf Möglichkeiten zur Bereinigung des Fehlers hat verstreichen lassen. Ein Angreifer kann dem Internet Explorer mit Hilfe des Sicherheitslecks Dateien mit falschen Endungen unterschieben, die ein Opfer für ungefährlich hält und so gefährlichen Programmcode ausführt.

Das Sicherheitsloch steckt anders als zunächst angenommen in der Windows-Shell, die gefälschte CLASSIDs nicht abfängt. Da die Windows-Shell auch vom Internet Explorer verwendet wird, kann ein Angreifer dem Browser etwa über eine Webseite Dateien mit vorgeblich vertrauenswürdigen Endungen unterschieben. Als Angriffsszenario ließe sich etwa eine HTML-Datei so modifizieren, dass diese im Browser als PDF-Datei erscheint. Bei Ausführung der Datei werden dann aber die darin enthaltenen HTML-Kommandos ausgeführt.

Anzeige

Das verschafft einem Angreifer umfassende Kontrolle auf einem fremden System mit den Rechten des angemeldeten Nutzers. Verfügt das angemeldete Opfer über Administratorrechte, lassen sich etwa neue Konten anlegen, Programme starten oder Dateien löschen. Noch im Januar 2004 wurde angenommen, das Sicherheitsloch steckt nur im Internet Explorer und nicht auch in der Windows-Shell. Mit dem nun erschienenen Patch deaktiviert Microsoft die Möglichkeit, eine CLASSID als Dateityp innerhalb der Windows-Shell zu verwenden.

Unverständlich bleibt, warum Microsoft fünf Gelegenheiten und damit rund sechs Monate hat verstreichen lassen, den Fehler zu beheben. Denn nach der von Microsoft im Oktober 2003 ausgerufenen, neuen Sicherheitsstrategie will das Unternehmen eigentlich schwere Sicherheitslöcher zügig beheben und diese an einem monatlichen Patch-Day veröffentlichen, wovon es seither fünf gab. Erst am sechsten Patch-Day vom Juli 2004 nimmt sich Microsoft knapp sechs Monate nach Bekanntwerden des Sicherheitslochs der Sache an.

Da die Windows-Shell eine zentrale Komponente von Windows darstellt, betrifft das Sicherheitsloch Windows 98, 98SE, Millennium, NT 4.0, 2000 sowie XP einschließlich der entsprechenden Server-Versionen und Windows Server 2003. Allerdings bietet Microsoft aus unerfindlichen Gründen keinen Patch für Windows 98, 98SE und Millennium an, obgleich der Hersteller selbst das Risiko des Sicherheitslecks als hoch einstuft.

Zumindest für die übrigen Windows-Plattformen wird der Sicherheits-Patch für die Windows-Shell zum Download angeboten. Alternativ erhält man den Patch über die Windows-Update-Funktion.


eye home zur Startseite
Michael - alt 16. Jul 2004

Frank, ich stimme Dir zu, nicht für jeden Pipifax ein komplettes Szenario testen. Aber...

Autor 15. Jul 2004

Naja, wie man es nimmt. In der Unternehmens-Gruppe, die mir z.Z. mein Dach über meinem...

Frank 14. Jul 2004

Es geht nicht um das gesamt team sondern um den Kern (so wie ich "Kloß" verstanden habe...

Frank 14. Jul 2004

sorry aber es ist ja nicht so das man das gesamt system testen muss wenn eine Komponente...

Hauke 14. Jul 2004

Wo bleiben diese doofen trolle, die sagen windows sei sicherer??? PS: Schön Microsoft...



Anzeige

Stellenmarkt
  1. engram GmbH, Bremen
  2. Hays AG, Raum Frankfurt
  3. ROHDE & SCHWARZ GmbH & Co. KG, Stuttgart
  4. Bundesamt für Sicherheit in der Informationstechnik, Bonn


Anzeige
Blu-ray-Angebote
  1. 1 Monat für 1€
  2. 299,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. Star Wars Battlefront 2 Angespielt

    Der Todesstern aus Sicht der Kampagne

  2. Nach Wahlniederlage

    Netzpolitiker Klingbeil soll SPD-Generalsekrektär werden

  3. Adasky

    Autonome Autos sollen im Infrarot-Bereich sehen

  4. Münsterland

    Deutsche Glasfaser baut weiter in Nordrhein-Westfalen aus

  5. Infineon

    BSI zertifiziert unsichere Verschlüsselung

  6. R-PHY- und R-MACPHY

    Kabelnetzbetreiber müssen sich nicht mehr festlegen

  7. ePrivacy-Verordnung

    Ausschuss votiert für Tracking-Schutz und Verschlüsselung

  8. Lifetab X10605 und X10607

    LTE-Tablets direkt bei Medion bestellen

  9. Gran Turismo Sport im Test

    Puristischer Fahrspaß - fast nur für Onlineraser

  10. Breitbandausbau

    Oettinger bedauert Privatisierung der Telekom



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
APFS in High Sierra 10.13 im Test: Apple hat die MacOS-Dateisystem-Werkzeuge vergessen
APFS in High Sierra 10.13 im Test
Apple hat die MacOS-Dateisystem-Werkzeuge vergessen
  1. MacOS 10.13 Apple gibt High Sierra frei
  2. MacOS 10.13 High Sierra Wer eine SSD hat, muss auf APFS umstellen

Elex im Test: Schroffe Schale und postapokalyptischer Kern
Elex im Test
Schroffe Schale und postapokalyptischer Kern

Indiegames-Rundschau: Fantastische Fantasy und das Echo der Doppelgänger
Indiegames-Rundschau
Fantastische Fantasy und das Echo der Doppelgänger
  1. Verlag IGN übernimmt Indiegames-Anbieter Humble Bundle
  2. Indiegames-Rundschau Cyberpunk, Knetmännchen und Kampfsportkünstler
  3. Indiegames-Rundschau Fantasysport, Burgbelagerungen und ein amorpher Blob

  1. Re: Sehr Kompakte Beschreibung

    M.P. | 17:44

  2. Re: Optimierungsproblem

    flogol | 17:42

  3. Re: Besiegelung und Zukunft

    Tuxgamer12 | 17:39

  4. Was bitte ist an W10 "vollwertig"?

    zuschauer | 17:38

  5. Re: Sollten lieber den Desktop komplett an MacOS...

    miauwww | 17:37


  1. 18:03

  2. 17:50

  3. 17:35

  4. 17:20

  5. 17:05

  6. 15:42

  7. 15:27

  8. 15:12


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel