Security-Alert

Microsoft gibt Ratschläge, anstatt Sicherheitslücken zu stopfen. Bereits seit dem 28. Januar 2004 ist bekannt, dass Microsoft am monatlichen "Patch-Day" im Februar 2004 endlich das einen Monat alte Sicherheitsleck im Internet Explorer beheben will. Das Sicherheitsloch vom Dezember 2003 verschleiert die tatsächliche URL in der Adresszeile des Browsers. Als zwischenzeitliche Abhilfe gibt Microsoft ein paar praxisferne Ratschläge.

Fälschung von Dateiendungen möglich. Die Mailingliste Full Disclosure dokumentiert ein weiteres Sicherheitsloch im Internet Explorer, das nach einem ähnlichen Muster arbeitet wie der kürzlich bekannt gewordene Ordner-Bug in Windows XP. Ein Angreifer kann dem Internet Explorer Dateien mit falschen Endungen unterschieben, so dass ein Opfer vermeintlich sichere Dateien öffnet und so womöglich gefährlichen Programmcode ausführt.

Sicherheitsleck in Windows XP erlaubt Tarnung von Programmdateien. Ein Beitrag in der Mailingliste Full Disclosure dokumentiert ein Sicherheitsleck in Windows XP, womit ein Angreifer ausführbare Dateien als Verzeichnis ausgeben und so das Starten einer entsprechenden Datei erreichen kann, ohne dass der Anwender dies bemerkt.

Download einer Datei mit überlangem Dateinamen führt zu Buffer Overflow. Wie Tri Huynh auf der Mailingliste Bugtraq berichtet, weist der Yahoo Instant Messenger ein Sicherheitsleck auf, das es Angreifern ermöglicht, Programmcode auf einem anderen Rechner auszuführen. Yahoo bietet eine aktualisierte Version der Software zum Download an.

Fehler im Speichermanagement gefährdet Linux 2.2., 2.4 und 2.6. Der Sicherheitsexperte Paul Starzetz weist auf eine kritische Sicherheitslücke im Linux-Kernel hin, die es lokalen Nutzern erlaubt, beliebigen Code auch auf Kernel-Ebene auszuführen. Betroffen ist Linux 2.2, 2.4 und 2.6.

Opera unter Windows bis einschließlich Version 7.22 betroffen. Die Site Operash weist auf einen Fehler im Web-Browser Opera hin, der es Angreifern erlaubt, beliebige Dateien auf einem anfälligen System zu löschen. Betroffen ist Opera für Windows in der Version 7 bis einschließlich 7.22.

Trotz bekannter Sicherheitslecks keine Sicherheits-Patches für Dezember 2003. Wie Microsoft bekannt gab, wird das Unternehmen im Dezember 2003 auf die Veröffentlichung der monatlichen Sicherheits-Patches verzichten. Die Ankündigung überrascht, da Ende November 2003 weitere schwere Sicherheitslöcher im Internet Explorer entdeckt wurden, ohne dass Microsoft bislang entsprechende Patches veröffentlicht hätte.

Patch-Einspielung gelingt nur mit dem Internet Explorer. Für die am 3. Dezember 2003 bekannt gewordene Sicherheitslücke im Yahoo Messenger bietet Yahoo einen Patch, um das Problem zu bereinigen. Während der Entdecker das Sicherheitsleck als gefährlich einstuft, sieht Yahoo keine große Gefahr darin.

LDAP-Server müssen sich gegenüber MacOS X nicht authentifizieren. Ein Security Advisory von William Carrel beschreibt Probleme von MacOS X beim Umgang mit LDAP-Servern, da entsprechende Zugriffe nicht korrekt geprüft werden. So kann ein Angreifer etwa über ein WLAN-Netzwerk ohne großen Aufwand auf Daten eines PCs mit MacOS X zugreifen, ohne dass der Nutzer etwas davon bemerkt. Derzeit bietet Apple nur einen Workaround an; einen Patch zur Behebung dieses Architektur-Problems gibt es bislang nicht.

Angreifer kann beliebigen Programmcode installieren und ausführen. Im Internet Explorer wurden vier weitere Sicherheitslecks entdeckt, womit sich in Kombination der verschiedenen Verfahren Programme installieren und ausführen lassen. Nach derzeitigem Kenntnisstand soll der Internet Explorer in der Version 6.0 betroffen sein, womöglich tritt das Problem aber auch mit dem Internet Explorer 5.x auf. Microsoft bietet bislang keinen Patch an.

Patch von Mitte Oktober 2003 ersetzt eine Datei unter Windows XP nicht korrekt. Mitte Oktober 2003 veröffentlichte Microsoft sieben verschiedene Sicherheits-Patches für mehrere Microsoft-Produkte. Eines der Patches arbeitet auf Systemen mit Windows XP allerdings nicht korrekt, so dass dieser Patch erneuert werden musste und entsprechenden Nutzern die erneute Einspielung des Patches empfohlen wird.

Nur Windows 2000 mit Service Pack 4 von dem Problem betroffen. Wie Microsoft mitteilt, wurde ein aus dem September 2002 stammendes Security Bulletin überarbeitet, weil der darin enthaltene Patch unter bestimmten Umständen vom Service Pack 1 für den Internet Explorer 6.0 außer Kraft gesetzt wird. Der Patch behebt eine Sicherheitslücke beim Prüfen von SSL-Zertifikaten in mehreren Windows-Systemen sowie in MacOS-Software aus Redmond.

Sicherheitslecks gestatten Angreifern unerlaubte Ausführung von Programmcode. Mit einem Schlag informiert Microsoft über mehrere Sicherheitslecks, welche in verschiedenen Produkten aus Redmond stecken. So sind neben Windows 2000, XP auch Word, Excel sowie die FrontPage Server Extensions betroffen. Ohne eingespielte Patches können Angreifer Programmcode auf einem fremden System ausführen. Alle Sicherheitslecks werden von Microsoft als kritisch eingestuft.

Angreifer können Programmcode ausführen und Dateien einsehen. Für den Internet Explorer 5.01, 5.5 und 6.0 bietet Microsoft einen Sammel-Patch an, der alle bislang veröffentlichten Sicherheits-Patches umfassen sowie fünf neue Lecks beheben soll. Ohne eingespielte Patches können Angreifer Dateien ausspionieren oder Programmcode auf einem fremden System ausführen. Alle Sicherheitslecks werden von Microsoft für mehrere Versionen des Internet Explorer als kritisch eingestuft.

Kurze "menschliche" Passwörter können per Wörterbuch-Attacke ausspionert werden. Nachdem die WEP-Verschlüsselung schon seit letztem Jahr als nicht mehr wirklich sicher gilt und beim Unternehmenseinsatz deshalb zusätzliche Verschlüsselungsmaßnahmen getroffen werden sollten, soll auch der WEP-Nachfolger "Wi-Fi Protected Access" (WPA) eine gravierende Schwäche haben: Werden nur kurze Passwörter auf Basis normaler Wörter eingesetzt, so reicht - auf Grund einer Schwäche in der Passwort-Eingabe von WPA-fähigen Access-Points und WLAN-Adapter - eine Wörterbuch-Attacke, um das Netz anzugreifen, ohne dass dazu ein direkter Zugriff auf WLAN notwendig ist, so Robert Moskowitz von TruSecure.

Weiterer Patch stopft Sicherheitsleck in MacOS X 10.3. Mit einem aktuellen Security Update behebt Apple ein weiteres Sicherheitsleck in dem jüngst erschienenen MacOS X 10.3 alias Panther. Demnach weist die Terminal-Applikation im Betriebssystem ein Sicherheitsleck auf, worüber ein Angreifer ohne Berechtigung auf das System zugreifen kann.

Bislang keine Patches für frühere Versionen von MacOS X im Angebot. Nach Apple-Informationen behebt das kürzlich erschienene MacOS X 10.3 gleich 14 Sicherheitslecks in früheren Versionen von MacOS X, für welche bislang keine separaten Patches angeboten werden. Wer also derzeit ein älteres System vor Angriffen bewahren möchte, muss das kostenpflichtige Update auf MacOS X 10.3 kaufen. Als Weiteres wurde bereits ein Patch für MacOS X 10.3 veröffentlicht, welcher ein Sicherheitsleck in QuickTime Java bereinigen soll.

Microsoft macht monatlichen Patch-Rhythmus wahr. Microsoft setzt die angekündigte neue Sicherheitsstrategie mit insgesamt sieben neuen Security Bulletins in die Tat um. Alle Security Bulletins werden von Microsoft in einem so genannten Security Bulletin Summary für den Monat Oktober 2003 zusammengefasst. Steve Ballmer kündigte an, Sicherheits-Patches monatlich anbieten zu wollen, was nun Realität wurde. Fraglich bleibt, ob Microsoft eine erhöhte Sicherheitsaufmerksamkeit erreicht, indem die Anwender mit Patches derart "beworfen" werden.

Weiteres Sicherheitsleck umgeht die bereits angebotenen Windows-Patches. Nachdem Microsofts bereits zwei Patches zur Schließung von Sicherheitslücken im RPC-Protokoll verschiedener Windows-Versionen veröffentlicht hat, berichten Sicherheitsexperten auf den Mailinglisten Bugtraq und Full Disclosure, dass weitere Lecks im RPC-Protokoll ausgenutzt werden können. So könne auf Systemen mit eingespieltem Patch eine Denial-of-Service-Attacke ausgeführt werden, was vermutlich das betreffende System zum Absturz bringt.

Bereits der Besuch einer Webseite genügt, um Opfer einer Attacke zu werden. In allen drei aktuellen Versionen des Internet Explorer wurden erneut schwerwiegende Sicherheitslücken entdeckt, die einem Angreifer die Ausführung von Programmcode erlauben. Ein Anwender muss lediglich eine Webseite besuchen oder eine HTML-E-Mail öffnen, um Opfer eines Angriffs zu werden. Bereits in der vergangenen Woche tauchte ein Trojaner auf, der sich das Sicherheitsleck zu Nutze macht. Microsoft bietet Sammel-Patches an, der auch frühere Sicherheitslecks im Browser beheben soll.

Infektion allein durch den Besuch einer Webseite mit dem Internet Explorer. Im Internet ist ein Trojaner unter der Bezeichnung Qhosts respektive QHosts-1 entdeckt worden, der sich eine nicht bereinigte Sicherheitslücke im Internet Explorer zu Nutze macht. Bereits durch den Besuch einer Webseite kann man sich diesen Trojaner einfangen. Eine weitere Verbreitungsroutine besitzt der Schädling aber nicht, so dass er bislang nur selten in freier Wildbahn gesichtet wurde.

OpenSSH 3.7.1p2 soll erneut Sicherheitslücken schließen. Die Entwickler von OpenSSH warnen innerhalb kurzer Zeit zum wiederholten Mal vor einer kritischen Sicherheitslücke, die es Angreifern erlaubt, beliebigen Code auf verwundbaren Systemen auszuführen. Betroffen ist auch die erst letzte Woche veröffentlichte Version 3.7p1 von OpenSSH.

Automatisches Update lässt sich nur durch Nichtnutzung von Xbox-Live vermeiden. Über ein automatisches Update aktualisiert Microsoft derzeit die Dashboard getaufte Xbox-Benutzeroberfläche, wenn Nutzer sich mit ihrer Konsole in Xbox Live einwählen. Das Update schließt eine Sicherheitslücke, welche etwa der MechInstaller zur einfachen Installation von Linux auf der Xbox ausnutzt.

Angreifer kann beliebigen Code ausführen. Der E-Mail-Client PINE (Program for Internet News & Email) enthält zwei Sicherheitslücken, die es Angreifern erlauben, beliebigen Code auszuführen, das berichtet das IT-Sicherheitsunternehmen iDefense. Ein Update, das die Sicherheitslücke beseitigt, steht bereit.

Erneut gefährliche Sicherheitslecks im RPC-Protokoll etlicher Windows-Versionen. Microsoft berichtet über zwei weitere, schwerwiegende Sicherheitslücken im RPC-Protokoll der Windows-Versionen NT 4.0, 2000, XP und der Server-Fassungen NT 4.0 Terminal Services Edition sowie Server 2003, über die ein Angreifer umfassende Kontrolle über ein fremdes System erlangen kann. Ein Mitte Juli 2003 entdecktes RPC-Sicherheitsleck sorgte im August 2003 für die explosionsartige Verbreitung des Blaster-Wurms, da viele Anwender die entsprechenden Patches nicht eingespielt hatten. Aus dieser Erfahrung heraus rät Microsoft eindringlich, den jetzt angebotenen Patch unverzüglich zu installieren.

Vermeintlich behobenes Sicherheitsleck weiterhin von Angreifern nutzbar. Wie ein Beitrag auf der Sicherheits-Mailingliste Full-Disclosure berichtet, weist der Ende August 2003 bereitgestellte Patch für den Internet Explorer einen Fehler auf, so dass das vermeintlich gestopfte Sicherheitsleck weiterhin von Angreifern ausgenutzt werden kann. Die Sicherheitslücke betrifft den Internet Explorer in den Versionen 5.01, 5.5 und 6.0.

Leck in Word umgeht Makro-Sicherheitsmodell; Makros werden automatisch gestartet. In zwei aktuellen Security Bulletins berichtet Microsoft über schwere Sicherheitslücken in zahlreichen Office-Produkten aus Redmond. Ein Leck umgeht das Sicherheitsmodell von Word bei der Ausführung von Makros, so dass diese ohne Patch automatisch gestartet werden. Eine weitere Sicherheitslücke betrifft den WordPerfect-Konverter, worüber ein Angreifer beliebige Befehle innerhalb der entsprechenden Office-Applikation ausführen kann.

Alle Office-Applikationen und weitere Microsoft-Produkte betroffen. Wie Microsoft berichtet, existiert in Visual Basic for Applications (VBA) ein schweres Sicherheitsleck, worüber ein Angreifer beliebigen Programmcode mit den Rechten des angemeldeten Anwenders ausführen kann. Da VBA in zahlreichen Microsoft-Produkten verwendet wird, sind auch etliche Applikationen von dem Sicherheitsrisiko betroffen. Ein weiteres Sicherheitsleck enthält der Access-Viewer, worüber ein Angreifer ebenfalls Programmcode auf einem fremden System ausführen kann.

Sicherheitslöcher erlauben Angreifer das Ausführen von Programmcode. Wie Microsoft in einem aktuellen Security Bulletin berichtet, enthält der Internet Explorer in den Versionen 5.01, 5.5 und 6.0 erneut zwei gefährliche Sicherheitslöcher, worüber ein Angreifer beliebigen Programmcode auf dem System starten kann. Ein Sammel-Patch soll diese Sicherheitslücken sowie bisherige Sicherheitslöcher in Microsofts Browser schließen und aktualisiert weitere Komponenten rund um den Internet Explorer.

MDAC-Datenbankfunktion erlaubt Angreifer Ausführung beliebigen Programmcodes. Die Datenbankkomponente Microsoft Data Access Components (MDAC) gehört zum Lieferumfang mehrerer Microsoft-Produkte und enthält nach Microsoft-Angaben ein gefährliches Sicherheitsloch, worüber ein Angreifer beliebigen Programmcode auf einem fremden System ausführen kann. Zur Abhilfe bietet Microsoft einen entsprechenden Patch an.

Microsoft will private Windows-Anwender besser über Sicherheitslecks informieren. In einem Interview mit der ARD-Nachrichtensendung Tagesschau gestand Microsoft Fehler ein, die bei der Benachrichtigung über Sicherheitslücken gemacht wurden. Anlass für die Einsicht bei Microsoft war die verheerende Verbreitung des Blaster-Wurms alias Lovsan, der sich innerhalb kürzester Zeit verbreitet hatte, indem eine seit rund einem Monat geschlossene Sicherheitslücke im Windows-Betriebssystem ausgenutzt wurde.

GNU-Quelltexte offenbar unverändert. Der zentrale FTP-Server des GNU-Projekts steht bereits seit geraumer Zeit unter fremder Kontrolle. Ein Nutzer hatte im März 2003 eine Sicherheitslücke ausgenutzt und so Root-Zugriff auf der Maschine erlangt. Derzeit ist man dabei, die Integrität der auf dem Server zur Verfügung stehenden Dateien zu prüfen und diese auf einem Ersatz-System einzuspielen. Bislang gehen die Verantwortlichen aber davon aus, dass kein Source-Code des GNU-Projekts verändert wurde.

Sicherheitslecks erlauben Programmausführung. Im SQL-Server der Versionen 7.0 und 2000 sowie der Data Engine 1.0 entdeckte Microsoft drei neue Sicherheitslücken, die mit einem passenden Sammel-Patch behoben werden können. Die Sicherheitslecks erlauben es einem Angreifer unter anderem, beliebigen Programmcode auf dem Server auszuführen. Microsoft rät Systemadministratoren, den Patch schleunigst einzuspielen.

MIDI-Dateien werden durch DirectShow zum Sicherheitsrisiko. Wie Microsoft in einem aktuellen Security Bulletin mitteilt, steckt in der DirectX-Komponente DirectShow ein Sicherheitsleck, das es einem Angreifer erlaubt, über eine präparierte MIDI-Datei beliebigen Programmcode auf einem fremden System auszuführen. Microsoft bewertet das Sicherheitsleck, das in zahlreichen DirectX-Versionen enthalten ist, als kritisch, schon weil DirectX Bestandteil etlicher Windows-Versionen ist.

Sicherheitslecks erlauben die Ausführung von Programmcode. In zwei Security Bulletins berichtet Microsoft über weitere kritische Sicherheitslecks im Windows-Betriebssystem, wofür ab sofort passende Patches bereitstehen. Während eine Sicherheitslücke nur Windows XP mit installiertem Service Pack 1 betrifft, ist das andere Sicherheitsloch in mehreren Windows-Fassungen enthalten. Beide Lecks erlauben es einem Angreifer, beliebigen Programmcode auf einem fremden System auszuführen.

Sicherheitslücke erlaubt es, Router und Switches lahm zu legen. Cisco warnt vor einer kritischen Sicherheitslücke in seinem Betriebssystem IOS. Betroffen sind alle Geräte, die mit IOS laufen und IPv4-Pakete verarbeiten, die durch den Fehler im IOS außer Betrieb gesetzt werden können.

Ein Sicherheitsloch erlaubt einem Angreifer die Ausführung von Programmcode. In zwei Security Bulletins berichtet Microsoft über weitere Sicherheitslücken innerhalb von Windows. Während das eine Sicherheitsleck bei der Anzeige einer Webseite oder HTML-Mail auftritt und somit den Internet Explorer betrifft, benötigt man zum Ausnutzen des anderen Sicherheitslochs einen lokalen Zugang zum betreffenden Rechner. Microsoft selbst stuft beide Sicherheitslecks als gefährlich ein.

Fehler im SMB-Protokoll erlaubt einen Fernangriff. In zahlreichen Windows- und Windows-Server-Ausführungen steckt eine Sicherheitslücke, die es Angreifern erlaubt, Daten zu zerstören, das System zum Absturz zu bringen oder im schlimmsten Fall beliebigen Programmcode auszuführen. Das Sicherheitsloch steckt im SMB-Protokoll, so dass ein Angreifer nur ein speziell formatiertes Kommando senden muss.

Veröffentlichte Sicherheitslücke im Xbox-Dashboard führt unsignierten Code aus. Eine Free-X getaufte Gruppe von "Xbox-Kopierschutz-Forschern" hat einen Weg gefunden, um auf einer nicht umgebauten Xbox beliebige Software auszuführen. Da Microsoft nicht für Gespräche über einen offiziell abgesegneten Xbox-Linux-Bootloader bereit gewesen sei, wurde die Sicherheitslücke und Beispielcode zu deren Ausnutzung nun veröffentlicht.

Angreifer können beliebigen Programmcode auf einem fremden System ausführen. In Microsofts Internet Explorer wurde erneut eine schwere Sicherheitslücke bei der Nutzung von Active Scripting entdeckt. Wie die Sicherheitsexperten von Secunia.com berichten, kann ein Angreifer über eine präparierte Webseite den Browser zum Absturz bringen oder beliebigen Programmcode mit den Nutzerrechten ausführen. Bislang bietet Microsoft keinen Patch zur Abhilfe an.

Angreifer kann beliebigen Programmcode ausführen. Eine Sicherheitslücke in den Windows Media Services der Server-Versionen von Windows 2000 erlaubt es einem Angreifer, über eine speziell formatierte HTTP-Anfrage beliebigen Programmcode auszuführen oder die Internet Information Services (IIS) zum Absturz zu bringen. Zur Behebung dieser Sicherheitslücke bietet Microsoft einen passenden Patch an.

Acrobat Reader und xpdf in aktualisierten Versionen verfügbar. Anfang der Woche wurde eine ungefährliche Sicherheitslücke in den Linux-Programmen Acrobat Reader und xpdf zur PDF-Ansicht entdeckt. Um das Sicherheitsleck zu stopfen, wurden nun aktualisierte Fassungen der beiden Applikationen veröffentlicht.

Beide Sicherheitslecks erlauben die Ausführung beliebigen Programmcodes. Wie Microsoft in einem Security Bulletin erklärt, enthält der Internet Explorer der Versionen 5.01, 5.5 und 6.0 erneut zwei schwere Sicherheitslecks, über die Angreifer beliebigen Programmcode auf einem fremden System ausführen können. Zudem steckt diese Sicherheitslücke auch im Internet Explorer 6.0 für den Windows Server 2003. Ein entsprechender Sammel-Patch steht ab sofort unter anderem in deutscher Sprache zum Download bereit.