Patch-Day: Sicherheitsloch im Internet Explorer bleibt offen

Patch für Microsofts ISA- und Proxy-Server erschienen

An Microsofts Patch-Day für den November 2004 lässt Microsoft - wie erwartet - das Anfang November 2004 entdeckte I-FRAME-Sicherheitsloch im Internet Explorer unberücksichtigt. Seit dem gestrigen 9. November 2004 verbreitet sich ein neuer MyDoom-Wurm über das Sicherheitsloch im Internet Explorer. Somit wird von Microsoft an diesem Patch-Day nur ein Update für den ISA- und Proxy-Server angeboten, der eine Spoofing-Sicherheitslücke schließt.

Artikel veröffentlicht am ,

In Microsofts Proxy Server 2.0 sowie im Internet Security and Acceleration Server (ISA-Server) 2000 steckt eine Sicherheitslücke, die für Spoofing-Angriffe missbraucht werden kann. Ein Fehler beim Zwischenspeichern von Ergebnissen des Reverse-Lookups führt dazu, dass ein Angreifer ein Opfer auf eine manipulierte Webseite schleusen kann, während das Opfer annimmt, auf vertrauenswürdige Inhalte zuzugreifen. Darüber lassen sich im schlimmsten Fall Zugangsdaten, Kennwörter oder andere vertrauliche Daten abfangen.

Stellenmarkt
  1. Senior Fullstack Developer (m/w/d)
    CodeCamp:N GmbH, Nürnberg
  2. IT-Expertin/IT-Experte (w/m/d) im Referat KM 37 Digitalisierung von Fachverfahren und IT-Unterstützung
    Bundesamt für Sicherheit in der Informationstechnik, Freital bei Dresden
Detailsuche

Im DNS stellt ein Reverse-Lookup einen Abfragevorgang dar, mit dem die IP-Adresse eines Hostcomputers nach seinem angezeigten DNS-Domänennamen durchsucht wird. Zur Ausnutzung dieser Sicherheitslücke muss ein Angreifer seine Opfer lediglich auf eine Webseite leiten, die einen Reverse-Lookup ausführen. Dabei legt der Proxy- und ISA-Server einen Cache an, worüber das geschilderte Angriffsszenario möglich wird. Deaktiviert man den DNS-Cache, indem dieser auf null gesetzt wird, kann das Sicherheitsrisiko umgangen werden. Ein Spoofing von SSL-Zertifikaten erlaubt das gefundene Sicherheitsloch nicht.

Microsoft bietet Patches für den Proxy Server 2.0 mit Service Pack 1 sowie für den ISA-Server 2000 mit Service Pack 1 oder 2 kostenlos zum Download an. Der ISA-Server 2004 ist von dem Sicherheitsloch nicht betroffen.

Da Microsoft am diesmonatigen Patch-Day die seit Anfang November 2004 entdeckte I-FRAME-Sicherheitslücke im Internet Explorer nicht geschlossen hat, wird man auf einen Patch nun wohl einen weiteren Monat warten müssen. Frühestens am 8. Dezember 2004 wird dann ein Patch für den Internet Explorer erwartet, um das Sicherheitsloch zu schließen, über das sich eine neue Variante des MyDoom-Wurms seit dem gestrigen 9. November 2004 stark verbreitet.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


james 11. Nov 2004

IE6aufsatz MAXTHON schliesst die iFrame lücke selbst , siehe http://www.winfuture.de...

c.b. 10. Nov 2004

Mahlzeit... Na Klasse, hier zeigen sich, und zwar allesamt, die wahren Profis mit ihren...

RTD 10. Nov 2004

lol

javanse 10. Nov 2004

is klar, meinst du deppen die IE nutzen wissen was eine firewall/contentfilter ist? mit...

javanse 10. Nov 2004

nutzer wie du sind das problem....denen ist alles scheissegal, hauptsache die pr0n_seite...



Aktuell auf der Startseite von Golem.de
Powertoys
Microsofts kostenlose Tools, die Windows besser machen

Dateien benennen und Programme von überall starten: Mit den richtigen Tools lässt sich Windows besser bedienen. Wir zeigen die Powertoys.
Von Oliver Nickel

Powertoys: Microsofts kostenlose Tools, die Windows besser machen
Artikel
  1. EFF: HTTPS Everywhere wird nicht mehr gebraucht
    EFF
    HTTPS Everywhere wird nicht mehr gebraucht

    Das Browserplugin HTTPS Everywhere wird nicht weiterentwickelt, stattdessen sollen Nutzer die browsereigenen HTTPS-Only-Modi verwenden.

  2. Mr. Goxx: Hamster handelt mit Kryptowährungen und schlägt Aktienindex
    Mr. Goxx
    Hamster handelt mit Kryptowährungen und schlägt Aktienindex

    Seit Juni 2021 ist der Hamster Mr. Goxx erfolgreich im Handel mit Kryptowährungen.

  3. Neue Alexa-Geräte: Amazon plant Echo Auto 2 und weitere neue Echo-Produkte
    Neue Alexa-Geräte
    Amazon plant Echo Auto 2 und weitere neue Echo-Produkte

    Amazon wird diese Woche neue Echo-Produkte vorstellen. Einige Details zu neuen Alexa-Geräten sind vorab bekanntgeworden.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Acer Nitro 23,8" FHD 165Hz 184,90€ • Nur noch heute: Black Week bei NBB mit bis zu 50% Rabatt • Alternate-Deals (u. a. Cooler Master MH 752 Gaming-Headset 59,90€) • Toshiba Canvio Desktop 6 TB 109€ • Lenovo-Laptops zu Bestpreisen • WISO Steuer-Start 2021 10,39€ [Werbung]
    •  /