Microsoft schließt am Patch-Day zwei Sicherheitslücken
Das Windows-Sicherheitsloch tritt bei der Verarbeitung von in HTML-Code eingebetteten Open-Type-Schriftarten auf. Bei der Anzeige einer solchen manipulierten Webschriftart mit der Rendering Engine des Internet Explorer wird der Systemspeicher beschädigt, so dass sich darüber beliebiger Programmcode ausführen lässt. Dies verschafft einem Angreifer eine umfassende Kontrolle über das System, sofern der angemeldete Benutzer über Administratorrechte verfügt.
Da die Rendering Engine des Internet Explorer auch von diversen E-Mail-Clients wie etwa Outlook oder Outlook Express zur Anzeige von HTML-Nachrichten verwendet wird, sind auch diese anfällig für das Sicherheitsleck. Ein Angreifer kann das Sicherheitsleck also ausnutzen, indem er eine manipulierte Webschriftart in eine Webseite einbindet oder per HTML-E-Mail versendet.
Microsoft bietet einen Patch für Windows 2000, XP und Windows Server 2003 zum Download(öffnet im neuen Fenster) an. Das Sicherheitsloch wurde von den Sicherheitsexperten von eEye gefunden und bereits im Juli 2005 an Microsoft gemeldet. Demnach ließ sich der Software-Gigant mehr als fünf Monate Zeit, die Sicherheitslücke in Windows zu schließen.
Das mit dem Office-Paket ausgelieferte Outlook weist ein Sicherheitsleck auf, wenn E-Mails per Exchange-Server verarbeitet werden und das TNEF-Protokoll (Transport Neutral Encapsulation) für den Austausch von Nachrichten im RTF-Format zum Einsatz kommt. Wie auch im Fall des Windows-Sicherheitslecks kann ein Angreifer beliebigen Programmcode ausführen, wenn das Opfer eine entsprechend manipulierte E-Mail in Outlook empfängt, die per Exchange-Server verarbeitet wurde.
Über das betreffende Security Bulletin stehen Patches für Office 2000, XP, 2003 sowie den Exchange-Server 5.0, 5.5 sowie 2000 zum Download(öffnet im neuen Fenster) bereit. Nicht betroffen von dem Sicherheitsleck ist nach Microsoft-Angaben der Exchange-Server 2003.
Einige Tage vor dem diesmonatigen Patch-Day hatte Microsoft bereits einen Windows-Patch veröffentlicht, um eine gefährliche Sicherheitslücke bei der Anzeige von WMF-Dateien zu beseitigen. Seit Erscheinen des Patches sind weitere Sicherheitslücken bei der Verarbeitung von WMF-Dateien bekannt geworden, wofür Microsoft nach aktueller Lage aber keinen Patch plant. Die betreffenden Fehler sollen erst mit einem kommenden Service Pack behoben werden. Allerdings ist das Service Pack 3 für Windows XP erst für die zweite Jahreshälfte 2007 geplant, während für Windows 2000 gar kein neues Service Pack erscheinen wird.
Ohne Ankündigung hat Microsoft außerdem ein ISO-CD-Image(öffnet im neuen Fenster) zum Download bereitgestellt, in dem zumindest die beiden diesjährigen Sicherheits-Patches für die Windows-Plattform vereint sind. Die Image-Datei umfasst den kürzlich erschienenen WMF-Patch sowie den Webschriftarten-Patch für alle Plattformen und in zahlreichen Sprachen. Ob Microsoft dieses CD-ISO-Image künftig an jedem Patch-Day aktualisiert und wie das vonstatten geht, ist derzeit nicht bekannt. Denkbar wäre, dass künftig alle seit Januar 2006 erschienenen Windows-Patches in dem CD-Image vereint sind oder dass eben nur die Windows-Patches des aktuellen Monats in die Image-Datei Einzug halten.
Die Webseite Winhelpline.de bietet bereits Setup-Routinen und komplette Update-Pakete für Windows 2000 und XP zum Download an. Über die Setup-Routinen können einzeln geladene Patches in einem Rutsch installiert werden, während die Update-Archive alle Patches enthalten. Entsprechende Archive für Windows 2000 mit Service Pack 4(öffnet im neuen Fenster) und Windows XP mit Service Pack 2(öffnet im neuen Fenster) stehen kostenlos bereit.