Security-Alert

Patches für den Internet Explorer noch nicht verfügbar. Die israelische Sicherheitsfirma GreyMagic Software berichtet über neun Sicherheitslücken im Internet Explorer bei der Ausführung von Active Scripting. Entsprechende Patches bietet Microsoft bislang nicht an. Um sich vor den Risiken zu schützen, sollte man Active Scripting im Internet Explorer deaktivieren.

Passende Patches zum Teil nur in englischer Sprache erhältlich. Zwei aktuelle Security Bulletins behandeln Sicherheitslücken in der Hilfe von Windows XP, der Tabellenkalkulation Excel 2002 sowie der Textverarbeitung Word in etlichen Windows- und MacOS-Fassungen. Microsoft stuft alle Sicherheitslecks als moderat ein. Während die Hilfe in Windows XP es einem Angreifer erlaubt, eine Datei über eine präparierte Webseite oder HTML-E-Mail zu löschen, gestatten die Lücken in Word und Excel das Ausspionieren von Informationen.

Zahlreiche Fehler im SQL-Server 7.0 und 2000 werden behoben. Microsoft stellt neue Sammel-Patches für den SQL-Server in den Versionen 7.0 und 2000 zum Download bereit. Dies Bugfix-Sammlungen sollen zahlreiche bisher einzeln veröffentlichte Sicherheitslücken in der Software stopfen sowie drei weitere Sicherheitslecks bereinigen.

Sicherheitslücken erlauben die Ausführung von Programmcode. Wie Microsoft in zwei aktuellen Security Bulletins berichtet, enthalten zahlreiche Windows-Versionen vier Sicherheitslücken, wovon zwei als kritisch betrachtet werden. Zwei der gefährlichen Sicherheitslecks stecken in der HTML-Hilfe, die Bestandteil zahlreicher Windows-Funktionen ist. Die anderen beiden Sicherheitslücken sind Bestandteil der ZIP-Funktionen in einigen Windows-Ausführungen. Die als kritisch eingestuften Lecks erlauben die Kontrolle über ein fremdes System oder die Ausführung von Programmcode.

Apache 1.3.27 und 2.0.43 erschienen. Die Apache Software Foundation bringt mit den Versionen 1.3.27 sowie 2.0.43 ein neues Sicherheits- und Bugfix-Update für den freien Webserver Apache. Die Version 1.3.27 stopft dabei drei mehr oder weniger große Sicherheitslöcher, die es mitunter Angreifern erlauben, Signale mit Root-Rechten an andere Prozesse zu senden.

Sicherheits-Bugfixes nur für Trillian 0.74 und Pro-Version erhältlich. In den vergangenen Tagen wurden im Internet einige Sicherheitslücken im Instant Messenger Trillian bekannt, wofür der Hersteller nun passende Patches anbietet, um diese Sicherheitslecks zu stopfen. Allerdings stehen nur Patches für die beiden aktuellen Versionen von Trillian zum Download bereit.

Neue Versionen für MacOS und MacOS X erhältlich. Microsoft bietet nach über drei Wochen endlich einen Patch gegen die SSL-Sicherheitslücke im Internet Explorer für die MacOS-Plattform an. Dabei steht sowohl ein Patch für die normale MacOS-Version als auch ein Update für den MacOS-X-Browser zum Download bereit. Die Patches sind bereits auch in deutscher Sprache verfügbar. Auf Patches für Outlook Express und das Office-Paket müssen die Anwender weiter warten.

Denial-of-Service-Attacke oder Programmcode-Ausführung möglich. Wie Microsoft in einem aktuellen Security Bulletin mitteilt, enthalten die Frontpage Server Extensions eine kritische Sicherheitslücke, die es Angreifern ermöglicht, je nach verwendeter Software-Version entweder eine Denial-of-Service-(DoS-)Attacke zu starten oder beliebigen Programmcode auszuführen. Für beide Sicherheitslecks stehen bereits deutschsprachige Patches zum Download bereit.

Angreifer können Dateien auslesen und beliebigen Programmcode ausführen. Der Internet Explorer ab der Version 5.5 besitzt ein Sicherheitsleck bei der Anzeige von frame- und iframe-Elementen, so dass Angreifer diese dazu missbrauchen können, beliebigen Programmcode auszuführen, Webseiten zu verändern oder Dateien auszulesen. Einen Patch bietet Microsoft bislang nicht an.

Erstes Service Pack für Windows XP soll zahlreiche Sicherheitslöcher stopfen. Das für den heutigen 9. September angekündigte Service Pack (SP) 1 für Windows XP steht ab sofort zum Download bereit. Das Service Pack 1 ist neben der englischsprachigen Fassung sogar schon in deutscher Sprache verfügbar.

Auch MacOS von dem Problem betroffen - noch keine Patches verfügbar. Wie Microsoft in einem aktuellen Security Bulletin eingesteht, steckt der Fehler beim Prüfen von SSL-Zertifikaten nicht nur im Windows-System, sondern auch zahlreiche MacOS-Software aus Redmond besitzt diese Fehler. Immerhin bietet Microsoft nun Patches für die meisten Windows-Versionen an, um das Sicherheitsleck zu schließen.

Service Pack 1 soll Raubkopien erkennen und eine Installation verhindern. Wie Microsoft verkündete, will der Software-Gigant das Service Pack (SP) 1 für Windows XP am kommenden Montag, den 9. September 2002, zum Download anbieten. Die Sammlung mit Bugfixes und Patches soll eine erhöhte Sicherheit bescheren, eine bessere Kompatibilität bringen und das System insgesamt stabiler machen.

Leck betrifft Windows NT 4.0, Windows 2000 und Windows XP. In den Desktop- und Server-Versionen von Windows NT 4.0, 2000 sowie XP steckt ein Sicherheitsloch, worüber Angreifer eine Denial-of-Service-(DoS-)Attacke ausführen und das System in die Knie zwingen können. Mit bereitgestellten Patches soll sich das Leck beheben lassen.

Aktueller Patch bereinigt alte und sechs neue Sicherheitslücken. Microsoft stellt einen neuen Sammel-Patch für die Windows-Version des Internet Explorer ab Version 5.01 zum Download zur Verfügung, der alle bislang einzeln erhältlichen Sicherheits-Updates enthält, aber auch sechs neu entdeckte Sicherheitslöcher stopfen soll. Dazu zählt auch ein Sicherheitsleck im Gopher-Protokoll, welches Microsoft bereits seit über drei Monaten bekannt ist.

Fehlerhafte Programmkomponente Bestandteil verschiedener Software-Produkte. Wie Microsoft in einem aktuellen Security Bulletin berichtet, enthalten die Programmkomponenten Office Web Components 2000 und 2002 drei kritische Sicherheitslöcher. Diese Komponenten sind Bestandteil zahlreicher Microsoft-Produkte, darunter auch Office XP, wofür erst gestern das Service Pack 2 erschienen ist, das den aktuellen Patch bereits enthalten soll.

Deutsches SP2 soll Sicherheit und Stabilität des Office-Pakets erhöhen. In den USA stellte Microsoft gestern das Service Pack 2 für Office XP offiziell zum Download bereit, nachdem ein Download-Link seit einigen Tagen durchs Netz geisterte und kürzlich wieder deaktiviert wurde. Neben der englischsprachigen Version steht nun auch offiziell eine deutsche Fassung zum Download bereit.

Angreifer können beliebige Dateien über die Windows-Hilfe löschen. In Windows XP ersetzte Microsoft die bisherige Hilfefunktion des Betriebssystems durch ein so genanntes Hilfe- und Supportcenter. Wie die Mailingliste Bugtraq mitteilt, besitzt dies eine Sicherheitslücke, die es Angreifern erlaubt, beliebige Dateien auf einem fremden System zu löschen, sofern Name und Position der Datei bekannt sind.

Microsoft arbeitet an Bugfixes; keine Terminangabe genannt. Wie das US-Computermagazin Computerworld berichtet, befindet sich das vergangene Woche entdeckte SSL-Sicherheitsloch gar nicht im Internet Explorer, sondern steckt im Windows Quellcode. Darin könnte der Grund liegen, dass sich Microsoft kurze Zeit nach Bekanntwerden des Sicherheitslochs bemühte, das Risiko klein zu reden.

Update beseitigt SSL-Sicherheitslücke. Das KDE Projekt bietet jetzt ein drittes Update der dritten Generation seines freien Unix-Desktops zum Download an. KDE 3.0.3 bietet dabei vor allem eine verbesserte Stabilität gegenüber KDE 3.0.2, das im Juli veröffentlicht wurde.

Sicherheitsloch im Network Connection Manager (NCM). Microsoft berichtet in einem aktuellen Security Bulletin über ein kritisches Sicherheitsloch in Windows 2000. Demzufolge steckt ein Fehler im Network Connection Manager (NCM) von Windows 2000, worüber ein Angreifer Zugang zum System erlangen und Code mit vollen Systemrechten ausführen kann. Ein bereitgestellter Patch soll das Problem beheben.

Patch behebt neu entdecktes Sicherheitsloch. Microsoft stellt einen Sammel-Patch für den SQL-Server der Versionen 7.0 sowie 2000 bereit, der alle bislang entdeckten Bugs beseitigen und eine neue Sicherheitslücke schließen soll. Durch die neue Lücke lassen sich so genannte "extended stored procedures" von jedem Nutzer mit Administratorrechten ausführen. Microsoft stuft das Risiko als moderat ein.

Microsoft argumentiert mit vorgezogenen Argumenten, statt einen Patch anzubieten. Vor wenigen Tagen wurde bekannt, dass sowohl der Internet Explorer als auch der Open-Source-Browser Konqueror eine Sicherheitslücke beim Aufruf von SSL-Webseiten aufweisen. Beide Browser prüfen SSL-Zertifikate nur unzureichend. Während für Konqueror sofort ein Patch zum Schließen der Sicherheitslücke erschien, will Microsoft das Problem ein paar Tage später klein reden.

Alte Version erlaubt Ausführung beliebiger Programme. Macromedia musste seinen Flash Player 6 für Windows aktualisieren, um zwei Sicherheitslöcher zu stopfen, wovon eines als kritisch zu betrachten ist. Denn damit kann ein Angreifer beliebige Programme auf dem betroffenen System ausführen.

Browser prüfen SSL-Zertifikate nur unzureichend. Sowohl der Internet Explorer als auch der Linux-Browser Konqueror weisen eine Sicherheitslücke beim Aufruf von SSL-Seiten auf, wie Beiträge auf der Bugtraq-Mailingliste berichten. Angreifer können einem Surfer so die sichere Verbindung zu einer bestimmten Webseite vorgaukeln, die aber so nicht existiert.

Beliebige Applikationen können mit höheren Nutzerrechten ausgeführt werden. Der freiberufliche Sicherheitsberater Chris Paget erläutert in einem umfangreichen Schriftstück, dass das Messaging-System in den Windows-APIs Angreifern erlaubt, die eigenen Rechte zu erweitern und so Zugriff auf Systembereiche zu erlangen, die für normale Anwender tabu sind. Microsoft stuft dies jedoch nicht als Sicherheitslücke ein, weil man dazu direkten Zugriff zu einem entsprechenden PC besitzen muss.

Neue Version 0.9.6e soll Probleme beheben. In einem Security Bulletin warnen die Entwickler der freien SSL-Implementierung OpenSSL gleich vor vier Sicherheitslücken in OpenSSL, die sich aus der Ferne ausnutzen lassen. Betroffen sind alle OpenSSL-Versionen bis 0.9.6d bzw. 0.9.7-beta2.

Microsoft muss Patch aktualisieren, weil Daten fehlten. Wie Microsoft in einem aktualisierten Security Bulletin berichtet, musste ein Sammel-Patch für den Windows Media Player aktualisiert werden. Der alte Sammel-Patch vom 26. Juni 2002 enthielt nicht alle notwendigen Daten, so dass alle Anwender des Windows Media Player der Versionen 6.4, 7.1 sowie des Windows Media Player für Windows XP den aktualisierten Patch aufspielen sollten.

Bugfixes stopfen insgesamt sechs Sicherheitslecks im SQL-Server 2000. Microsoft veröffentlichte zwei Security Bulletins, in denen sechs neu entdeckte Sicherheitslücken für den SQL-Server 2000 beschrieben werden. Drei der Sicherheitslöcher bewertet Microsoft nur als moderates und sogar geringes Risiko, während die übrigen drei Lücken als kritisch eingestuft werden. Für alle Lecks bietet Microsoft ab sofort passende Patches an.

PHP 4.2.2 enthält Patch für POST-Sicherheitslücke. Die Entwickler der Scriptsprache PHP haben jetzt über eine Sicherheitslücke in PHP informiert und zugleich mit PHP 4.2.2 eine neue Version vorgelegt, die Abhilfe schafft. Mit speziellen POST-Daten sollen sich IA32-Server zum Absturz bringen lassen. Bei anderen Architekturen bestünde unter Umständen sogar die Möglichkeit, Code auf fremden Servern auszuführen.

Sicherheitsleck erlaubt das Lesen von Dateien und Starten von Programmen. Der Däne Thor Larholm entdeckte eine Sicherheitslücke im Internet Explorer, worüber Angreifer Kontrolle über das betreffende System erlangen können. So lassen sich darüber beliebige Dateien und Cookies auf dem betreffenden System von einem Angreifer einsehen. Aber auch das Ausführen beliebiger Programme ist so möglich.

Outlook-Plugin in PGP erlaubt beliebige Programmausführung. Network Associates bietet einen Patch an, der ein Sicherheitsloch im Outlook-PlugIn der Verschlüsselungssoftware PGP 7.x behebt, das jetzt bekannt geworden ist. Mit einer präparierten E-Mail kann die Sicherheitslücke im PGP-Plugin dazu genutzt werden, beliebigen Code auf dem entsprechendem System auszuführen, was der Patch wieder bereinigt.

Scalper-Wurm laut Antivirenherstellern bislang ohne größere Verbreitung. Der Scalper-Wurm nutzt eine bereits vor zwei Wochen bekannt gewordene Sicherheitslücke im Apache-Webserver, befällt derzeit aber wohl nur das Betriebssystem FreeBSD.

Patch behebt drei neue Sicherheitslücken im Windows Media Player. Ein neuer Sammel-Patch von Microsoft behebt drei Sicherheitslücken im Windows Media Player der Versionen 6.4, 7.1 und dem Windows Media Player für Windows XP. Außerdem soll der Patch alle bislang veröffentlichten Patches enthalten.

Entwickler wollen Details am Freitag zusammen mit Gegenmitteln veröffentlichen. Laut Theo de Raadt, einem der Lead Developer für OpenBSD und OpenSSH, existiert eine Sicherheitslücke in OpenSSH, die es Angreifern erlaubt, "Root-Rechte" auf entfernten Systemen zu erlangen. Konkrete Details nennt de Raadt in seiner E-Mail an diverse Websites und Mailinglisten nicht, um so Missbrauch vorzubeugen.

Update auf neue Apache-Version wird dringend empfohlen. Die am Dienstag bekannt gewordene Sicherheitslücke im Apache WebServer erweist sich als gefährlicher als zunächst eingeschätzt. Anders als zunächst vermutet lässt sich auch auf 64-Bit- und 32-Bit-Unix-Plattformen beliebiger Code ausführen. Zunächst war man davon ausgegangen, dass diese Plattformen dadurch "lediglich" für Denial-of-Service-Attacken anfällig werden.

Patches stopfen vier neue und zahlreiche ältere Sicherheitslöcher. Microsoft stellt zwei Sammel-Patches für die Textverarbeitung Word 2002 und die Tabellenkalkulation Exel 2002 zum Download bereit. Damit sollen zahlreiche Sicherheitslöcher in den entsprechenden Applikationen behoben werden. Auch für Excel 2000 steht ein Patch bereit, der allerdings nur für englischsprachige Sprachversionen gilt.

Bugfix für den Internet Explorer lässt noch auf sich warten. Vor knapp zwei Wochen wurde eine Sicherheitslücke im Internet Explorer entdeckt, die bei der Verwendung des integrierten Gopher-Clients auftreten kann. Wie Microsoft mitteilte, sind auch der Proxy Server 2.0 und der ISA Server 2000 davon betroffen und bietet immerhin dafür passende Patches an. Das Sicherheitsleck im Internet Explorer bleibt hingegen weiterhin offen.

Windows NT 4.0, 2000, XP, SQL-Server 2000 und IIS 4.0 sowie 5.0 betroffen. Mit einem Schlag informierte Microsoft jetzt über drei aktuelle Sicherheitslücken in verschiedenen Microsoft-Produkten. Die Sicherheitslöcher betreffen Windows NT 4.0, 2000, XP, den SQL-Server 2000 sowie den Internet Information Server (IIS) 4.0 und 5.0. Zwei Lecks werden von Microsoft als moderate Gefahr eingestuft, während die dritte Lücke in Windows NT 4.0, 2000 und XP als kritisch eingeordnet wird. Für alle drei Sicherheitslöcher bietet Microsoft passende Patches an.

Erster Patch von Anfang Mai brachte nicht die erhoffte Wirkung. Wie Microsoft in einem aktualisierten Security Bulletin mitteilt, muss der MSN Chat Client erneut durch einen Patch aktualisiert werden, weil der Anfang Mai bereitgestellte Fix nicht alle Risiken beseitigt. Der MSN Chat Client, der auch im MSN Messenger und im Exchange Instant Messenger steckt, besitzt ein Sicherheitsloch, das es Angreifern ermöglicht, beliebigen Programmcode auszuführen.

Aufruf von ftp-Seiten kann gefährliche JavaScript-Befehle ausführen. Wie auf der Mailingliste Bugtraq berichtet wird, besitzen mindestens die Versionen 5.5 und 6.0 des Internet Explorer ein Sicherheitsleck bei ftp-Seiten. Dies kann dazu führen, dass gefährlicher JavaScript-Code auf dem betreffenden Computer ausgeführt wird. Einen Patch gibt es bislang nicht, aber ein Workaround wird angeboten.

Microsoft bietet Patch gegen das Problem an. Wie Microsoft in einem aktuellen Security Bulletin mitteilt, steckt ein Sicherheitsleck in ASP.NET, das es Angreifern erlaubt, beliebigen Programmcode auszuführen sowie den Server durch DoS-Attacken in die Knie zu zwingen. Microsoft bietet bereits einen passenden Patch an.

Microsoft bietet noch keinen Patch; Workaround möglich. Die finnische Sicherheitsfirma Online Solutions Oy berichtet über eine Sicherheitslücke im Internet Explorer, die bei der Nutzung des internen Gopher-Clients auftreten kann. Demnach genügt der Aufruf eines präparierten Gopher-Servers, damit ein Angreifer die volle Kontrolle über einen fremden Rechner erlangt.

Angreifer können einen Exchange-2000-Server zum Erliegen bringen. Wie Microsoft in einem aktuellen Security Bulletin mitteilt, enthält der Mail-Server Exchange 2000 eine empfindliche Sicherheitslücke, die es Angreifern ermöglicht, den Mail-Server in die Knie zu zwingen. Microsoft bietet einen Patch gegen das Problem an.