Security-Alert

Auch fremde Websites könnten Kontaktliste und E-Mail-Adressen abrufen. Der MSN Messenger und der Windows Messenger unter XP haben nach Ansicht des Sicherheitsexperten Richard Burton eine gravierende Sicherheitslücke, mit der es möglich ist, über eine Website persönliche Informationen über die User abzurufen.

Sicherheitsloch gestattet Angreifern das Ausführen beliebigen Programmcodes. Der RealPlayer enthält in zahlreichen Versionen eine Sicherheitslücke, die es Angreifern ermöglicht, beliebigen Programmcode auf einem fremden Rechner auszuführen. Real stellt Patches für den RealPlayer zum Download bereit, wodurch dieses Sicherheitsloch gestopft sein soll.

Fehler auf Server-Seite behoben; keinerlei Installation erforderlich. Wie AOL auf Nachfrage mitteilte, wurde die in dieser Woche bekannt gewordene Sicherheitslücke im AOL Instant Messenger nun behoben, indem ein Patch auf den AOL-Server aufgespielt wurde. Das bedeutet, dass Nutzer des AOL Instant Messenger keinen Patch oder etwa eine neue Version des Programms herunterladen müssen; das Sicherheitsloch stellt ab sofort kein Risiko mehr dar.

Angreifer können Kontrolle über den eigenen Rechner erlangen. Im AOL Instant Messenger (AIM) wurde eine Sicherheitslücke entdeckt. Dabei handelt es sich um die Versionen 4.7.2480 und die Beta mit der Versionsnummer 4.8.2616. Betroffen sind nur die Windows-Varianten des Instant Messengers. Der in Netscape eingebaute AIM soll von der Sicherheitslücke nicht betroffen sein.

Sicherheitsexperte rät von der Benutzung des Internet Explorer ab. Kaum zwei Tage ist das neue Jahr alt und schon sorgt eine Sicherheitslücke im Internet Explorer für Aufsehen. Dieses Sicherheitsloch kann bei der Ausführung von JavaScript-Code dazu führen, dass auf dem lokalen Rechner beliebige Dateien gelesen oder auch Programme gestartet werden können.

"Universal Plug and Play" macht Windows XP verwundbar. Das US-Sicherheitsunternehmen eEye Digital Security hat ein Sicherheitsloch in Windows XP entdeckt. Schuld daran ist die standardmäßig installierte "Universal Plug and Play"-Unterstützung, die aber auch unter Windows 98 funktioniert und somit auch dort eine Sicherheitslücke reißt.

WEP mittels "RC4 Fast Packet Keying" wieder sicherer. RSA Security und Hifn haben sich der als unsicher geltenden WEP-(Wired-Equivalent-Privacy-)Verschlüsselung der immer mehr Verbreitung findenden Datenfunk-Hardware nach IEEE-802.11b-Standard (WLAN, WiFi) angenommen und gravierende Sicherheitslücken geschlossen. WEP hat bei den einzelnen Paketen - vereinfacht gesagt - zu ähnliche Schlüssel, was lauschenden Hackern die Möglichkeit gibt, den Shared Key zu ermitteln und die Pakete zu entschlüsseln.

Verhindert unerlaubtes Ausführen von Programmen auch in Outlook. Microsoft hat am 13. Dezember 2001 ein wichtiges Sicherheitsupdate für den Internet Explorer 5.5 (mit installiertem Service Pack 2) und Internet Explorer 6 veröffentlicht, das unter anderem eine im Microsoft Security Bulletin MS01-058 beschriebene gravierende Sicherheitslücke stopfen soll. Diese "File Execution Vulnerability" erlaubt es Angreifern, den Internet Explorer 6 zum automatischen, ungefragten Starten von Programmcode zu verleiten.

Deutschsprachiger Patch für den Internet Explorer 5.5 und 6.0 verfügbar. Am 9. November informierte Microsoft über ein Sicherheitsloch in der Cookie-Verwaltung der beiden Browser Internet Explorer 5.5 sowie 6.0 und reicht jetzt einen Patch dagegen nach. Diese Sicherheitslücke erlaubt es Angreifern, Daten in beliebigen Cookies zu lesen und zu verändern.

Patch zum Stopfen der Sicherheitslücke noch nicht fertig. Wie Microsoft in einem aktuellen Security Bulletin mitteilt, besitzen mindestens die Versionen 5.5 und 6.0 des Internet Explorer eine Sicherheitslücke, die es Angreifern ermöglicht, Daten in Cookies zu lesen und zu verändern. Einen Patch dagegen bietet Microsoft bislang nicht an, will dies aber so schnell wie möglich nachholen.

Microsoft muss Dienst abschalten; Bestätigung für Sorgen von Datenschützern. Ende vergangener Woche deaktivierte Microsoft bis auf weiteres den Passport-Dienst Wallet, weil ein Open-Source-Programmierer eine empfindliche Sicherheitslücke darin aufgedeckt hatte. Damit erlitt das Ziel von Microsoft, eine zentrale Datenbank von Surfern anzulegen, einen empfindlichen Rückschlag und bestätigt damit Bedenken der Datenschützer.

CIAC warnt vor der Übermittlung von Fehlerberichten an Microsoft. Wie das "Computer Incident Advisory Capability office" (CIAC) des amerikanischen Energieministeriums in einem Security Bulletin mitteilte, können bei der Übertragung von Bug-Reports in Microsoft-Produkten auch vertrauliche Daten nach Redmond gelangen.

Patch für Outlook 2000 und 2002 verfügbar; für Outlook 98 fehlt er weiterhin. Mitte Juli 2001 berichtete Microsoft über eine Sicherheitslücke in Outlook 98, 2000 und 2002, die Angreifern über eine Webseite den Zugriff auf Outlook-Daten ermöglicht. Erst über vier Wochen später bietet der Hersteller jetzt einen Patch an, der jedoch nur für die 2000er-Versionen und nicht für Outlook 98 erhältlich ist.

Privilege Escalation Vulnerability - Angreifer erlangen volle Systemkontrolle. Eine neu entdeckte, "Privilege Escalation Vulnerability" getaufte Sicherheitslücke im Microsoft Internet Information Server (IIS) erlaubt es Angreifern, mit Gast-Privilegien Programme mit Administrator-Rechten auszuführen. Diese Programme müssen nur in DLL-Form ins IIS Virtual Directory gespielt werden und lassen sich dann starten.

Sicherheitslücke mit handelsüblicher Soft- und Hardware nutzbar. Scott Fluhrer, Itsik Mantin und Adi Shamir haben bereits Ende Juli eine gravierende Schwäche in der WEP-(Wired-Equivalent-Privacy-)Verschlüsselung des Wireless-LAN-(WLAN-)Standards IEEE 802.11 aufgedeckt, die nun ein Student der Rice University zusammen mit zwei AT&T-Labs-Angestellten praktisch nachweisen konnte. Die Sicherheitslücke resultiert aus einer inkorrekten Umsetzung des RC4-Algorithmus und erfordert lediglich das Mitschneiden und Auswerten von mehreren hunderttausend Datenpaketen, um einen 128-Bit-Schlüssel herauszufinden und die WEP-Verschlüsselung auszuhebeln - der Aufwand für längere Schlüssel soll dabei nur linear wachsen.

Mutierter CodeRed-Wurm soll in der Nacht zum Mittwoch zuschlagen. Vor rund einer Woche tauchte der CodeRed-Wurm auf und verbreitet sich seitdem rapide über zahlreiche Internet-Server. Jetzt warnt auch Microsoft einhellig mit einigen US-Regierungsstellen, darunter das FBI, vor dem Wurm. Schließlich nutzt der Schädling zur Verbreitung eine Sicherheitslücke im Microsoft Internet Information Server.

Deutsches Update bereits erhältlich. Und wieder vermeldet Microsoft in einem aktuellen Security Bulletin eine Sicherheitslücke, die mindestens die Versionen 6.4 und 7.x. des Windows Media Player betrifft. Das Sicherheitsloch gestattet es Angreifern, beliebigen Code auf dem betreffenden Rechner ohne Wissen des Anwenders auszuführen.

Auch Code-Red-Wurm konnte nicht eingedämmt werden. Vor wenigen Tagen tauchte der SirCam-Wurm im Internet auf und treibt seitdem weiter tatkräftig sein Unwesen. Gleiches gilt für den kurz zuvor entdeckten Code-Red-Wurm, der vor allem Netzwerke befällt und sich seitdem munter quer über den gesamten Globus verbreitet.

Wurm nutzt Sicherheitslücke im Microsoft Internet Information Server. Wie Network Associates, ein Hersteller von Antiviren-Software, meldet, verbreitet sich seit gestern ein Internet-Wurm mit dem Namen "Code Red" explosionsartig im Internet. Er macht sich eine Sicherheitslücke im Microsoft Indexing Service zu Nutze, wofür bereits seit über einem Monat ein passender Patch erhältlich ist.

Outlook-Daten können über Webseite verändert werden. Wie Microsoft in dem aktuellen Security Bulletin MS01-038 eingesteht, enthalten die Versionen 98, 2000 und 2002 der PIM-Anwendung Outlook eine empfindliche Sicherheitslücke, die Angreifern die Veränderung von Outlook-Daten über eine Webseite ermöglicht. Ein Patch ist derzeit nicht verfügbar.

Mail-Relaying über SMTP-Dienst von Windows 2000 möglich. Dank eines Authentifizierungs-Fehlers im Windows-2000-SMTP-Dienst ist es möglich, unerlaubt E-Mails über Windows 2000 Server und Windows 2000 Professional zu versenden. Ein Patch von Microsoft soll nun Abhilfe schaffen und die "Windows 2000 SMTP Mail Relaying"-Sicherheitslücke schließen.

Patches zur Abhilfe bereits verfügbar. Wie Microsoft jüngst in einem Security Bulletin mitteilte, enthält der Windows Media Player einige empfindliche Sicherheitslücken, die bereits erhältliche Patches beheben sollen. Die Probleme betreffen die Versionen 6.4 und 7.0 des Windows Media Players; die kürzlich veröffentliche Version 7.1 ist davon nicht betroffen.

Microsoft-Patch verhindert automatischen Start von Makros in RTF-Dateien. Laut Microsofts Security Bulletin MS01-028 leben Nutzer von Word 97/2000 für Windows und 98/2001 für den Mac gefährlich, wenn sie fremde Rich-Text-Format-(RTF-)Dateien aufrufen und ohne Warnung automatisch darin versteckte Makros aktivieren. Mit Hilfe eines Patches, den Microsoft bereits zum Download anbietet, lässt sich die Sicherheitslücke jedoch schließen.

Bislang nur englischsprachiger Patch verfügbar. In einem aktuellen Security-Bulletin informiert Microsoft über zwei neu entdeckte Sicherheitslücken im Internet Explorer der Versionen 5.01 und 5.5. Mittlerweile steht auch ein deutschsprachiger Patch zum Download bereit.

Internet-Druckfunktion im IIS 5.0 öffnet Eindringlingen Tür und Tor. Seit dem 1. Mai bietet Microsoft einen neuen Patch zum Download, der eine unter Windows-2000-Server-Betriebssystemen in Verbindung mit dem Internet Information Server (IIS) 5.0 auftretende Sicherheitslücke schließen soll. Diese ermöglicht es, einen Buffer-Overrun in der ISAPI-Extension auszulösen, die für die Einbindung des Internet Printing Protocol (IPP) verantwortlich ist, und somit fremden Programm-Code auszuführen.

Angeblich neues Sicherheitsloch in Windows 2000 entdeckt. In Windows 2000 soll sich ein weiteres Sicherheitsloch eingeschlichen haben, das es erlauben soll, den Passwortschutz von Windows 2000 zu umgehen. Die Zeitschrift Computer Bild will diese Lücke entdeckt haben. Unklar ist, ob es sich hier tatsächlich um eine neue Sicherheitslücke handelt.