Patch-Day: Microsoft stopft drei Sicherheitslecks
Im PGM-Multicast-Protokoll von Windows XP steckt ein Sicherheitsloch, das durch einen ungültigen Speicherzugriff ausgelöst wird. Ein Angreifer kann darüber beliebigen Programmcode ausführen, um sich mit Hilfe einer manipulierten Multicast-Nachricht eine umfassende Kontrolle über ein fremdes System zu verschaffen. Standardmäßig ist der Multicast-Dienst nicht installiert. Für Windows XP mit Service Pack 1 und 2 steht ein Patch zum Download(öffnet im neuen Fenster) bereit.
Ein weiteres Sicherheitsleck steckt im Indexdienst von Windows. Der Dienst überprüft Abfrageparameter nicht korrekt, so dass ein Angreifer mit den Rechten des angemeldeten Nutzers Skripte ausführen kann, um an vertrauenswürdige Informationen zu gelangen. Ein Patch(öffnet im neuen Fenster) für Windows 2000, XP und Windows Server 2003 soll dieses Sicherheitsloch schließen.
In der Office-Komponente Publisher wurde ein Sicherheitsleck gefunden, worüber ein Angreifer beliebigen Programmcode ausführen kann. Dazu muss ein Opfer nur dazu gebracht werden, eine präparierte Publisher-Datei zu öffnen. Das Sicherheitsleck befindet sich in den Publisher-Versionen 2000, 2002 sowie 2003 und kann mit einem Patch(öffnet im neuen Fenster) geschlossen werden.
Die von Microsoft mittlerweile bestätigte(öffnet im neuen Fenster) Sicherheitslücke in Word 2000 bleibt auch nach dem Patch-Day offen. Vermutlich müssen sich Anwender von Word 2000 noch bis Mitte Oktober 2006 gedulden, um das Sicherheitsleck beseitigen zu können.
Alternativ zu den Direkt-Downloads über die Security Bulletins können die Patches auch über die Update-Funktion des Betriebssystems eingespielt werden. Darüber verteilt Microsoft auch ein von dem Softwarekonzern als nicht sicherheitsrelevant eingestuftes Update für die Windows-Plattform(öffnet im neuen Fenster) . Beim Einsatz von Microsofts Filter-Manager kann es passieren, dass die Update-Funktion des Betriebssystems nicht mehr funktioniert und mit einer Fehlermeldung abgebrochen wird. Das Update soll diesen Fehler korrigieren.
Außerdem hat Microsoft zwei Sicherheits-Patches aus dem vergangenen Monat neu auflegen müssen, um Unverträglichkeiten damit zu bereinigen. So erhielt der bereits überarbeitete Sicherheits-Patch für den Internet Explorer eine weitere Überarbeitung(öffnet im neuen Fenster) . Denn bislang ging Redmond davon aus, dass das durch den ursprünglichen Sicherheits-Patch vom August 2006 aufgerissene Sicherheitsleck nur Windows 2000 mit Service Pack 4 sowie Windows XP mit Service Pack 1 mit dem Internet Explorer 6 mit Service Pack 1 betrifft. Nun hat sich aber herausgestellt, dass auch der Internet Explorer 5.01 sowie der Internet Explorer 6 von Windows Server 2003 von dem Problem betroffen sind. Letzteres gilt nur, falls das Service Pack 1 von Windows Server 2003 noch nicht eingespielt wurde.
Auch ein zweiter Sicherheits-Patch vom August 2006 muss überarbeitet werden, weil darin Fehler gefunden wurden. So machen Applikationen Schwierigkeiten, die große zusammenhängende Speicherbereiche anfordern. Dieser Fehler soll nur Windows Server 2003 sowie Windows XP in der 64-Bit-Edition betreffen. Der überarbeitete Sicherheits-Patch(öffnet im neuen Fenster) steht ab sofort zum Download bereit.
Winboard.org bietet inoffizielle Update-Pakete(öffnet im neuen Fenster) für Windows XP mit Service Pack 1 oder 2, für Windows XP in der 64-Bit-Ausführung sowie für Windows Server 2003 mit Service Pack 1 zum Download an. Diese werden als Upgrade und als Vollversion angeboten. Für Windows 2000 mit Service Pack 4 gibt es bislang nur das Upgrade, die Vollversion folgt in Kürze. Das Update-Paket für Windows XP mit Service Pack 2 steht auch in einer englischen Sprachversion zum Download bereit. Zudem gibt es ein CD-Image mit den Sammel-Patches. Auch Winhelpline.de(öffnet im neuen Fenster) bietet Patch-Pakete zum Download, die derzeit für Windows XP und Windows Server 2003 zu haben sind. Die Patch-Pakete für Windows 2000 werden wohl später folgen. In Kürze wird auch WinFuture.de(öffnet im neuen Fenster) mit einem Sammel-Patch für Windows XP nachziehen.
Nachtrag vom 13. September 2006 um 12:32 Uhr:
WinFuture.de(öffnet im neuen Fenster) hat mittlerweile nachgelegt und bietet einen Sammel-Patch für Windows XP mit Service Pack 2 als Upgrade und Vollversion zum Download an.