Patch-Day widmet sich Internet Explorer und Windows
Auf Grund eines Fehlers initialisiert der Internet Explorer verschiedene COM-Objekte nicht korrekt, so dass Angreifer per JavaScript-Kommando beliebigen Programmcode auf fremde Systeme schleusen können. Zur Abhilfe setzt Microsoft nun verschiedene Kill-Bits, was das Starten einiger COM-Objekte verhindert. Dazu wird auch ein ActiveX-Control deaktiviert, worüber der XCP-Deinstaller für Sony BMGs Musik-CDs kein Sicherheitsrisiko mehr darstellt. Auch über ein Sicherheitsleck bei der Verarbeitung von DOM-Objekten, für das im November 2005 Beispiel-Code im Internet auftauchte, lässt sich beliebiger Programmcode ausführen. Das Sicherheitsleck an sich ist seit Mai 2005 bekannt, Microsoft hat aber erst reagiert, nachdem Beispiel-Code auftauchte.
Das dritte mit einem Patch bedachte Sicherheitsleck im Internet Explorer tritt bei der Anzeige von Dialogboxen im Browser auf und wurde von Secunia(öffnet im neuen Fenster) entdeckt. Ein Fehler sorgt dafür, dass Anwender mit Tricks dazu bewegt werden können, Tastatureingaben in einem Download-Dialogfeld vorzunehmen, die dann an andere Applikationen weitergereicht werden. Angreifer könnten so etwa beliebigen Programmcode ausführen.
Im Zuge der drei genannten Sicherheitslücken muss ein Angreifer sein Opfer lediglich dazu bringen, eine entsprechend präparierte Webseite mit dem Internet Explorer aufzurufen. Da die Rendering Engine des Internet Explorers von einer Reihe von E-Mail-Programmen wie etwa Outlook oder Outlook Express verwendet wird, können Anwender auch durch das Öffnen einer entsprechenden HTML-E-Mail Opfer eines Angriffs werden.
Ein weiterer Fehler steckt in der Verarbeitung von eigentlich vertrauenswürdigen HTTPS-Kommandos, wenn diese über einen HTTPS-Proxy-Server gehen. Ein Angreifer kann darüber Internetadressen im Klartext auslesen, obwohl diese verschlüsselt sein sollten, sofern der Proxy-Server vom Internet Explorer eine Basisauthentifizierung anfordert. In einem Security Bulletin stellt Microsoft Patches für die vier Sicherheitslücken im Internet Explorer ab der Version 5.01 zum Download(öffnet im neuen Fenster) bereit.
Mit einem weiteren Patch schließt Microsoft eine Windows-Sicherheitslücke, über die sich angemeldete Nutzer bei der Verarbeitung von asynchronen Prozeduraufrufen mehr Rechte verschaffen können. Durch eine solche Rechteausweitung könnte ein Angreifer eine umfassende Kontrolle über das System erlangen. Das Risiko wird von Microsoft als hoch eingestuft, auch wenn sich das von eEye entdeckte Sicherheitsleck(öffnet im neuen Fenster) nur von angemeldeten Anwendern ausnutzen lässt. Für Windows 2000 bietet Microsoft einen Patch(öffnet im neuen Fenster) zum Download an, nachdem der Software-Gigant vor rund 7 Monaten im Mai 2005 auf den Fehler hingewiesen wurde.
Die genannten Sicherheits-Patches für den Internet Explorer und für Windows bietet Microsoft ab sofort über die betreffenden Security Bulletins zum Download an. Alternativ können die Patches über die Update-Funktion des Betriebssystems bezogen werden.
Zudem hat Microsoft - wie üblich - das "Malicious Software Removal Tool" aktualisiert, das nun wie angekündigt das XCP-System erkennt, das auf verschiedenen Musik-CDs von Sony BMG eingesetzt wurde und in der Vergangenheit für viel Wirbel gesorgt hat.