Security-Alert

Microsoft hat die Lücke mit seinen Februar-Patches geschlossen. Microsoft hat zum Patch-Day im Februar unter anderem eine Sicherheitslücke im Browser-Plug-In des Windows Media Player geschlossen. Nur wenige Tage danach wurde ein "Exploit" veröffentlicht - Code, mit dem sich die Sicherheitslücke ausnutzen lässt. Ein Patch, der das Problem behebt, ist von Microsoft verfügbar.

Sicherheitsloch beim Öffnen von Wiedergabelisten. In der aktuellen Winamp-Version wurde ein Sicherheitsleck entdeckt, worüber Angreifer abermals beliebigen Programmcode ausführen können. Dazu müssen sie ihre Opfer nur dazu bringen, eine manipulierte Playlisten-Datei mit der Software zu öffnen.

Microsoft weist auf Windows-Sicherheitsloch hin. In früheren Versionen des Internet Explorer wurde ein weiteres Sicherheitsloch bei der Verarbeitung von WMF-Dateien gefunden, berichtet Microsoft. Angreifer könnten darüber eine umfassende Kontrolle über ein fremdes System erlangen. Außerdem soll Beispielcode für eine Sicherheitslücke in Windows existieren, über die sich lokale Angreifer erhöhte Rechte verschaffen können.

Sicherheitslücke in Photoshop CS2 und Illustrator CS2. In Photoshop CS2, Illustrator CS2 sowie im Adobe Help Center wurde eine Sicherheitslücke entdeckt, die nun mit einem Patch geschlossen werden kann. Über das Sicherheitsloch können lokale Anwender bei Mehrbenutzersystemen bestimmte Programmdateien der Adobe-Applikationen austauschen und so schadhaften Programmcode einschleusen.

Manipulierte PDF-Dateien verursachen Buffer Overflow. Eine neu entdeckte Sicherheitslücke im freien PDF-Betrachter Xpdf ermöglicht es Angreifern, beliebigen Programmcode auszuführen. Betroffen sollen alle Versionen inklusive 3.01 sein, einen Patch gibt es derzeit noch nicht.

Sicherheitsloch in Winamp erlaubt Programmausführung. Am gestrigen 30. Januar 2006 wurde bekannt, dass Exploit-Code im Internet gefunden wurde, der eine Sicherheitslücke in Winamp zur Programmausführung ausnutzt. Die Winamp-Entwickler haben nun einen Patch nachgereicht, der Winamp auf die Versionsnummer 5.13 hievt und den Fehler beseitigt.

Beispielcode im Internet entdeckt. Für eine gefährliche Sicherheitslücke in der Multimedia-Software Winamp wurde Beispielcode im Internet entdeckt, worüber sich das Sicherheitsloch ausnutzen lässt. Über eine manipulierte Playlisten-Datei kann ein Angreifer beliebigen Programmcode auf Windows-Systemen ausführen. Bislang steht kein Patch bereit, um sich gegen solche Attacken zu schützen.

Angebliche Auftragsbestätigung gefährdet ungepatchte Systeme. Derzeit sind gefälschte E-Mails mit einer angeblichen Auftragsbestätigung von Dell im Umlauf. Der in die E-Mail eingebettete Link führt auf eine Website, die eine WMF-Sicherheitslücke in Windows ausnutzt.

Angreifer können unbemerkt Peer-to-Peer-Netzwerk aufbauen. Eine Art Konfigurationsfehler in den WLAN-Funktionen von Windows ist nun bekannt geworden, worüber Angreifer Zugang zu einem anderen Rechner erlangen können. Dazu muss ein Angreifer wissen, welche SSID-Informationen auf dem Notebook vorliegen und kann so eine Peer-to-Peer-Verbindung zu dem betreffenden Notebook aufbauen.

Microsoft veröffentlicht Patch für Vorabversionen von Windows Vista. Durch die Veröffentlichung eines Sicherheits-Updates für die in Entwicklung befindliche, kommende Windows-Version Vista steht fest, dass der Programmfehler bei der Anzeige von WMF-Dateien auch in Windows Vista steckt. Zum Jahresende 2005 wurde ein Sicherheitsloch bei der Verarbeitung von WMF-Dateien in zahlreichen Windows-Versionen bekannt.

Sicherheitsupdate für PHP 4 erschienen. Kurz nach der Veröffentlichung von PHP 5.1.2 folgt auch ein Sicherheitsupdate für PHP 4. Die neue Version PHP 4.4.2 behebt ebenfalls Sicherheitslücken.

Aktuelle QuickTime-Version behebt Programmfehler. Mit einer aktuellen QuickTime-Version behebt Apple gleich fünf gefährliche Sicherheitslücken bei der Anzeige von Grafikdateien. Angreifer können über alle fünf Sicherheitslecks beliebigen Programmcode ausführen, was sowohl für die Windows- als auch die MacOS-Ausführung von QuickTime gilt.

Gefährliche Sicherheitslücken in Windows, Office und im Exchange-Server. Am Patch-Day für den Januar 2006 schließt Microsoft Sicherheitslücken in Windows bzw. im Internet Explorer sowie in Office bzw. Outlook im Zusammenspiel mit dem Exchange-Server. Das Windows-Sicherheitsloch erlaubt über manipulierte Webschriftarten das Einschleusen beliebigen Programmcodes. Das gleiche Risiko tritt bei dem zweiten Sicherheitsleck auf, das in Outlook in Kombination mit dem Exchange-Server auftritt. Zudem bietet Microsoft neuerdings ein CD-Image mit den beiden Windows-Patches dieses Jahres an.

Sicherheitslücken erlauben Denial-of-Service-Attacken. Nur wenige Tage nach der außerplanmäßigen Veröffentlichung eines Windows-Patches zur Beseitigung einer Sicherheitslücke bei der Anzeige von WMF-Dateien sorgen neu entdeckte Sicherheitslöcher in den WMF-Funktionen in Windows für Wirbel. Microsoft bestreitet jedoch die Vermutung, dass über das Sicherheitsleck auch Programmcode ausgeführt werden kann.

Patch bereits an Wine-Projekt weitergegeben. Das Sicherheitsloch, durch das sich mit manipulierten WMF-Bilddateien Code unter Windows ausführen lässt, betrifft auch die freie Implementierung des Windows-API Wine sowie dessen Derivate. Dadurch soll sich auch Shellcode auf dem betroffenen System ausführen lassen.

Vorabinformation zu Microsofts Patch-Day am 10. Januar 2006. Nachdem Microsoft vorab einen Patch gegen das WMF-Sicherheitsleck veröffentlicht hat, steht nun auch fest, welche Produkte am planmäßigen Patch-Day im Januar 2006 aktualisiert werden. So wird ein Security Bulletin für Windows sowie ein weiteres Security Bulletin erscheinen, welches zugleich für Office und den Exchange-Server bestimmt ist. Die betreffenden Sicherheitslücken werden als gefährlich eingestuft.

Offizieller Patch außerhalb der Reihe erschienen. Microsoft hat außerhalb des normalen Patch-Zyklus ein Sicherheits-Update für Windows 2000, XP und Server 2003 veröffentlicht, das die WMF-Lücke schließen soll. Eigentlich sollte das Update erst am 10. Januar 2006 erscheinen - dem diesmonatigen Patch-Day.

Zwei Lecks gestopft, zwei Patches noch in Arbeit. Nachdem die Hackergruppe Phenoelit Ende Dezember 2005 auf dem 22. Chaos Communication Congress Sicherheitslücken in der von RIM betriebenen BlackBerry-Architektur aufgedeckt hat, wurden nun zum Teil Patches zur Abhilfe bereit gestellt. Drei der vier Sicherheitslücken betreffen ausschließlich RIMs Server-Software, während ein Sicherheitsrisiko auf den BlackBerry-Geräten auftritt.

Software-Bausatz könnte viele Schadprogramme verursachen. Das Virenlabor von Panda Software berichtet, dass im Internet eine Bausatz-Software entdeckt wurde, um auf leichte Art das von Microsoft bislang nicht geschlossene WMF-Sicherheitsloch ausnutzen zu können. Daher befürchtet Panda Software schon bald eine Vielzahl von Schadprogrammen, Viren und Würmern, die sich das WMF-Sicherheitsleck in Windows zu Nutze machen.

Microsoft rät derzeit zum Abschalten von WMF-Bildern. Ende letzter Woche wurde eine bislang ungepatchte, aber kritische Sicherheitslücke in Microsofts Betriebssystem Windows bekannt, dank der sich über präparierte WMF-Bilddateien Code einschleusen und zur Ausführung bringen lässt. Mittlerweile warnen die Anti-Virenhersteller vor ersten Würmen und Spam, der das Problem ausnutzt. Allerdings steht mittlerweile auch ein Hotfix bereit, der Abhilfe schaffen soll - wenn auch nicht von Microsoft.

Derzeit keine Patches vorhanden. Die Sicherheitsspezialisten von Secunia warnen vor einer kritischen Sicherheitslücke in mehreren Microsoft-Betriebssystemen, darunter Windows XP und Windows Server 2003. Manipulierte WMF-Bilddateien können darüber Code einschleusen und zur Ausführung bringen.

Drei gefährliche Sicherheitslücken im Internet Explorer. Am monatlichen Patch-Day für den Dezember 2005 schließt Microsoft gleich vier Sicherheitslecks im Internet Explorer ab der Version 5.01. Drei der vier Sicherheitslücken erlauben das Ausführen von Programmcode über das Internet, so dass das entsprechende Risiko als gefährlich eingestuft wird. Darüber hinaus hat Microsoft einen Patch für Windows veröffentlicht, der ein Sicherheitsloch im Kernel schließt, worüber lokale Angreifer erweiterte Rechte erhalten können.

Fünf weitere Software-Updates für 13. Dezember 2005 vorgesehen. Wie gewohnt hat Microsoft nun Vorabinformationen zum geplanten Patch-Day am 13. Dezember 2005 bekannt gegeben. Demnach sind zwei Security Bulletins für die Windows-Plattform geplant, um Sicherheitslücken zu stopfen, die als gefährlich eingestuft werden.

Beispielcode belegt Programmabsturz. Im kürzlich vorgestellten Firefox 1.5 wurde eine Sicherheitslücke entdeckt, die zu einem wiederholten Absturz des Browsers führen kann. Die Entdecker des Sicherheitslochs behaupten zudem, dass sich über dieses Sicherheitsleck auch Programmcode ausführen lässt.

Manipulierte PDF-Dateien können Heap Overflows verursachen. Der freie PDF-Betrachter Xpdf enthält vier kritische Sicherheitslücken, durch die Angreifer beliebigen Programmcode ausführen können. Auch die aktuelle Version 3.01 ist betroffen, die Entwickler bieten aber bereits einen Patch an.

Bisheriges Identifikationssystem soll ersetzt werden. Einem Bericht des Nachrichtenmagazins "Der Spiegel" zufolge soll bei manchen Voice-over-IP-Anbietern die übertragene Nummer des Anrufers geändert werden können, so dass man damit Handy-Mailboxen von Dritten abhören kann.

Patch lässt auf sich warten. Die Sicherheitsexperten von Secunia weisen darauf hin, dass der RealPlayer unter Windows zwei gefährliche Sicherheitslücken aufweist, worüber Angreifer beliebigen Programmcode ausführen können. Ein Patch steht bislang aus, so dass man beim Einsatz des RealPlayers Vorsicht walten lassen sollte.

Präparierter Login-Name kann Root-Rechte gewähren. Dyad Security warnt vor einer kritischen Sicherheitslücke in Webmin und Usermin, mit der Angreifer Root-Rechte auf Server erlangen können, die mit der Server-Administrationssoftware ausgestattet sind.

13 Sicherheitslücken in MacOS X - Apple stellt Patch bereit. Mit einem Sicherheits-Patch für MacOS X 10.3.9 sowie 10.4.3 behebt Apple gleich 13 Sicherheitslöcher im Betriebssystem. Darunter befinden sich auch vier Sicherheitslücken im Webbrowser Safari, worüber Angreifer unter anderem beliebigen Programmcode ausführen und sich so eine umfassende Kontrolle über ein fremdes System verschaffen könnten.

Angreifer nutzen Sicherheitsloch vom Mai 2005. Für Microsofts Webbrowser ist Programmcode aufgetaucht, der ein altes, aber bislang nicht geschlossenes Sicherheitsleck im Internet Explorer ausnutzt. Angreifer können über eine präparierte Webseite beliebigen Programmcode auf fremde Rechner schleusen und sich so eine umfassende Kontrolle darüber verschaffen. Ein Patch zur Beseitigung des Sicherheitslochs ist nicht verfügbar.

Sicherheitslücke ermöglicht Denial-of-Service-Attacken. Ein Sicherheitsproblem im Windows-RPC-Dienst (Remote Procedure Call) ermöglicht Angreifern unter Umständen einen Denial-of-Service-Angriff. Microsoft zufolge sind Windows XP bis Service Pack 1 sowie Windows 2000 bis Service Pack 4 betroffen. Updates für diese Versionen bietet der Softwarehersteller allerdings noch nicht an.

Version 3.8.1 schließt Sicherheitslücken. Mit der Version 3.8.1 ihres Content-Management-Systems schließen die Entwickler von Typo3 einige Sicherheitslücken und führen zugleich Vorkehrungen gegen das Umgehen von bestehenden Sicherheitsmechanismen ein. Zudem wurde die grafische Darstellung optimiert.

Red Hat bietet schon Patches. Drei Sicherheitslücken im Grafik-Toolkit GTK+ können zu einem Pufferüberlauf führen. Dazu genügt es, den Anwender zum Öffnen eines manipulierten XPM-Bildes in einem Programm, das GTK+ benutzt, zu bringen. Auch fremder Programmcode lässt sich so ausführen.

Cisco und Juniper Networks sollen Problem bereits behoben haben. Ein finnisches Forscherteam der Universität Oulu veröffentlichte jetzt eine Schwachstelle beim Schlüsselaustausch (Internet Key Exchange) von IPSec. Betroffen sein sollen verschiedene VPN- und Firewall-Produkte, unter anderem von Cisco und Juniper Networks.

Sicherheitslöcher bei der Anzeige von WMF- und EMF-Dateien. An Microsofts Patch-Day für den November 2005 erscheint wie angekündigt nur ein Security Bulletin für die Windows-Plattform. Allerdings werden damit gleich drei verschiedene Sicherheitslücken im Betriebssystem geschlossen. Über zwei der drei Sicherheitslöcher kann ein Angreifer beliebigen Programmcode ausführen, während das andere Sicherheitsleck eine Denial-of-Service-Attacke erlaubt.

Neue Version vom Flash-Player 7 stopft Sicherheitslücke. Im nicht mehr ganz taufrischen Flash-Player 7 haben die Experten von eEye ein Sicherheitsleck entdeckt, worüber Angreifer beliebigen Programmcode ausführen können. Zur Abhilfe bietet Macromedia nun eine neue Version vom Flash-Player 7 zum Download an. Der Flash-Player 8 kennt das Problem nicht.

Neue Erkenntnis: QuickTime 7.0.3 behebt vier Sicherheitslücken. Vor mehr als drei Wochen hat Apple die Version 7.0.3 von QuickTime veröffentlicht, ohne Informationen zu nennen, welche Änderungen das Update bringt. Erst jetzt ist bekannt, dass mit QuickTime 7.0.3 gleich vier Sicherheitslücken geschlossen werden, wovon drei Lecks zur unberechtigten Ausführung von Programmcode missbraucht werden können.

Oft kritisierte Sicherheitsarchitektur vom Internet Explorer zeigt Folgen. In den vergangenen Monaten hat Microsoft zur Beseitigung von Sicherheitslücken im Internet Explorer einige Funktionen so beschränkt, dass manche Webseite in dem Redmondschen Browser nicht mehr korrekt angezeigt wird. Dies belegt abermals, dass viele der durch den Internet Explorer hervorgerufenen Sicherheitsprobleme in der Browser-Architektur begründet sind, die sich eben nicht ohne weiteres beheben lassen, ohne dem Nutzer zunächst Nachteile aufbürden zu müssen.

Vorabinformationen zum nächsten Patch-Day von Microsoft. Im Monat November 2005 will Microsoft ein Security Bulletin veröffentlichen, das mindestens ein Sicherheitsleck in Windows behebt, das als kritisch eingestuft wird. Weitere Informationen dazu werden erst am 8. November 2005 folgen, wenn das Security Bulletin veröffentlicht wird.

Aktuelle Version von MacOS X enthält alle bisherigen Sicherheits-Patches. Mit der Version 10.4.3 für MacOS X wird auch der Web-Browser Safari aktualisiert, der nun ohne Hilfsmittel den Acid2-Test besteht. Außerdem wurden mehrere kleine Programmfehler in verschiedenen Applikationen behoben, so dass Rechner mit MacOS X 10.4.3 insgesamt stabiler zu Werke gehen sollten. Die jeweiligen Updates stehen für die Desktop- und Server-Ausführungen von MacOS X 10.4.x bereit.

Fehler gefährdet zahlreiche PHP-Applikationen. PHP-Entwickler Stefan Esser hat bei den Arbeiten an seinem "Hardening-Patch" für PHP einige Sicherheitslücken in der freien Scriptsprache entdeckt. Darunter auch ein Problem beim Upload von Dateien, das Esser als kritisch einstuft.

Manipuliertes HTML-Tag bringt Browser zum Absturz. Ein Sicherheitsloch im Internet Explorer lässt den Browser nach Erkenntnissen des Sicherheitsexperten Tom Ferris abstürzen, so dass Angreifer über präparierte Webseiten den Browser gezielt beenden könnten. Ein Patch zur Beseitigung des Sicherheitslochs liegt derzeit nicht vor.

Kritisches Sicherheitsupdate von Oracle. Oracle beseitigt mit seinem Oktober-Patch zahlreiche Sicherheitlücken in seiner Software. Viele der Probleme schätzt Oracle dabei selbst als kritisch ein, schweigt sich aber wie üblich zu Details aus.