Original-URL des Artikels: https://www.golem.de/0810/62946.html    Veröffentlicht: 15.10.2008 11:13    Kurz-URL: https://glm.io/62946

Microsoft: Elf Patches schließen 19 Sicherheitslücken

Sammelpatch für den Internet Explorer

Für Windows, den Internet Explorer, Excel sowie Microsofts Office-Paket sind insgesamt elf Patches erschienen. 19 Sicherheitslöcher werden damit beseitigt. Zehn davon werden als gefährlich eingestuft, weil Angreifer darüber schadhaften Code ausführen können.

Ein Sammelpatch für den Internet Explorer 5 bis 7 beseitigt gleich sechs Sicherheitslöcher, von denen fünf zur Ausführung von schadhaftem Programmcode missbraucht werden können. Von diesen fünf Sicherheitslecks können wiederum drei auch zum Zugriff auf vertrauliche Informationen verwendet werden. Das sechste Sicherheitsloch im Internet Explorer kann einem Angreifer den Einblick in vertrauliche Daten gewähren. Zur Ausnutzung aller sechs Sicherheitslücken muss ein Angreifer sein Opfer dazu verleiten, eine entsprechend präparierte Webseite zu öffnen.

In diversen Excel-Versionen wurden drei Sicherheitslücken gefunden, die allesamt als gefährlich eingestuft wurden. Mit Hilfe manipulierter Excel-Dateien kann ein Angreifer beliebigen Programmcode ausführen. Mit einem Patch wird der Fehler in Excel 2000, 2002, 2003, 2007 sowie Excel für Mac 2004 und 2008 sowie im Excel Viewer geschlossen, verspricht Microsoft.

Die Active-Directory-Implementierung von Windows 2000 weist einen Fehler auf, den Angreifer zum Ausführen von schadhaften Code ausnutzen können. Dazu müssen sie speziell gestaltete LDAP-Pakete an ein verwundbares System schicken. Ein Patch für Windows 2000 beseitigt dieses Sicherheitsloch.

In Microsofts Host Integration Server 2000, 2004 und 2006 kann ebenfalls beliebiger Programmcode ausgeführt werden. Die Ursache dafür ist ein Fehler bei der Verarbeitung von RPC-Anforderungen, die es einem Angreifer erlaubt, eine eigentlich notwendige Authentifizierung zu umgehen. Mit dem veröffentlichten Patch soll der Fehler korrigiert werden.

Drei Sicherheitslücken im Windows-Kernel können zur Ausweitung von Nutzerrechten missbraucht werden, das Sicherheitsrisiko wird als hoch eingestuft. Angreifer müssen in allen Fällen am System angemeldet sein und können sich dann mittels einer speziellen Applikation mehr Rechte verschaffen. Mit dem Patch für Windows 2000, XP, Vista sowie Windows Server 2003 und 2008 soll das Problem beseitigt werden.

Ebenfalls in Windows 2000, XP, Vista, Windows Server 2003 und 2008 steckt ein Sicherheitsleck, das zur Rechteausweitung missbraucht werden kann. Dazu muss ein Opfer zum Ausführen eines speziellen Programms verleitet werden. Den Programmfehler in der Windows-Komponente Virtual Address Descriptor wird der bereitgestellte Patch korrigieren.

Ein hohes Risiko erhält das Sicherheitsleck in Microsofts SMB-Protokoll, das sogar zur Ausführung von Schadcode genutzt werden kann. Ein Angreifer muss dazu die IP-Adresse des Zielhosts, dessen NetBIOS-Computernamen sowie die Portnummer kennen. Der Patch für Windows 2000, XP, Vista, Windows Server 2003 und 2008 schließt das Sicherheitsloch.

Die AFD-Komponente von Windows XP und Windows Server 2003 weist eine Sicherheitslücke auf, die zur Rechteausweitung verwendet werden kann. Angreifer müssen sich dazu aber am System anmelden, um den Fehler mit einer speziellen Applikation auszunutzen. Mit einem Patch wird das Sicherheitsleck beseitigt.

Im Message-Queuing-Dienst von Windows 2000 wurde eine Sicherheitslücke gefunden, die nur als hohes Risiko bewertet wird, obwohl diese von Angreifern zum Ausführen von Schadcode missbraucht werden kann. Dazu muss ein Angreifer eine spezielle RPC-Anforderung senden. Der veröffentlichte Patch soll den Fehler nun korrigieren.

Eine als mittelschwer eingestufte Sicherheitslücke steckt in Office XP und kann ausgenutzt werden, indem ein Opfer zum Öffnen eines manipulierten Links innerhalb einer Webseite verleitet wird. Denn der Fehler in Office führt dazu, dass CDO-URLs nicht korrekt verarbeitet werden. Über ein clientseitiges Skript lassen sich Inhalte vortäuschen, Informationen einsehen oder Aktionen ausführen, zu denen ein Benutzer auf der betroffenen Website berechtigt ist. Der nun erschienene Patch soll das Sicherheitsloch schließen.

Alle genannten Sicherheitspatches verteilt Microsoft auch über die Updatefunktion der betreffenden Produkte.  (ip)


Verwandte Artikel:
Finspy: Neuer Staatstrojaner-Exploit in RTF-Dokument gefunden   
(13.09.2017, https://glm.io/130025 )
10 Sicherheitslücken in Microsoft-Produkten   
(09.04.2008, https://glm.io/58889 )
Microsoft: 11 Patches beseitigen 25 Sicherheitslecks   
(13.08.2008, https://glm.io/61692 )
Microsofts Office hat 12 gefährliche Sicherheitslecks   
(12.03.2008, https://glm.io/58333 )
Sicherheitslücke im Internet Explorer 6   
(27.06.2008, https://glm.io/60688 )

Links zum Artikel:
Microsoft - Security Bulletin MS08-056: http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms08-056.mspx
Microsoft - Security Bulletin MS08-057: http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms08-057.mspx
Microsoft - Security Bulletin MS08-058: http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms08-058.mspx
Microsoft - Security Bulletin MS08-059: http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms08-059.mspx
Microsoft - Security Bulletin MS08-060: http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms08-060.mspx
Microsoft - Security Bulletin MS08-061: http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms08-061.mspx
Microsoft - Security Bulletin MS08-062: http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms08-062.mspx
Microsoft - Security Bulletin MS08-063: http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms08-063.mspx
Microsoft - Security Bulletin MS08-064: http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms08-064.mspx
Microsoft - Security Bulletin MS08-065: http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms08-065.mspx
Microsoft - Security Bulletin MS08-066: http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms08-066.mspx

© 1997–2020 Golem.de, https://www.golem.de/