Microsoft patcht URI-Lücke

Fehler in Windows Shell erlaubt Codeausführung

Zum November-Patch-Day beseitigt Microsoft die so genannte URI-Lücke in Windows XP, die diverse Applikationen wie Firefox und Outlook betrifft und von deren Entwicklern zum Teil notdürftig geflickt wurde, doch der eigentliche Fehler steckt im Betriebssystem. URIs für bestimmte Protokolle wie "mailto:" lassen sich nutzen, um eine Applikation auf dem System des Nutzers zu öffnen, je nach angegebener Datei-Endung.

Artikel veröffentlicht am 14. November 2007, 9:17 Uhr, Jens Ihlenfeld

Microsoft selbst stuft den URI-Fehler als kritisch ein und adressiert ihn nach rund drei Monaten mit dem Patch MS07-061. Statt dass mit präparierten URIs ungewollt andere Applikationen gestartet und ggf. missbraucht werden können, zeigt Windows nun nur noch eine Fehlermeldung an.

Microsoft selbst räumt ein, dass der Fehler eine Remote-Code-Ausführung erlaubt und durch die Art und Weise der Verarbeitung speziell gestalteter URIs, die der Windows Shell übergeben werden, verursacht wird. Wenn die Windows Shell diese URIs nicht ausreichend überprüft hat, könne ein Angreifer die Sicherheitslücke ausnutzen und beliebigen Code ausführen. Betroffen sind laut Microsoft nur Windows XP und Windows Server 2003, auf denen der Internet Explorer 7 ausgeführt wird. Der eigentliche Fehler steckt aber in der Windows-Datei Shell32.dll, die in allen unterstützten Editionen von Windows XP und Windows Server 2003 enthalten ist.

Mit dem Patch MS07-062 beseitigt Microsoft zudem einen Fehler im Windows DNS Server, der Spoofing erlaubt. Betroffen ist hier der Windows Server 2003.

Darüber hinaus legt Microsoft einen älteren Patch (MS07-049), der Fehler im Virtual PC und Virtual Server beseitigt, neu auf.