Sicherheitslücke

IE hat Probleme mit SSL-Seiten; zweite Nachbesserung des IE-Sicherheits-Patches. Wie ein aktueller Knowledge-Base-Artikel auf Microsofts Webseiten zu berichten weiß, hat ein aktueller Internet Explorer 6 Probleme mit SSL-Seiten. Das Problem soll nur den Internet Explorer 6 betreffen, sofern der Anfang Februar 2004 erschienene Sicherheits-Patch für den Browser eingespielt wurde. Damit muss Microsoft den betreffenden Patch bereits das zweite Mal nachbessern.

Wurm nutzt Neugierde der Anwender. Nachdem der Wurm Bagle.B sich seit dem 18. Februar 2004 massiv per E-Mail verbreitet, bekommt er nur einen Tag später Gesellschaft von dem Unhold Netsky.B. Auch dieser Wurm hat sich bereits wenige Stunden nach Erscheinen massiv im Internet vermehrt. Offenbar scheinen die Anwender aus den jüngsten Erfahrungen wenig gelernt zu haben, da sich Netsky.B ohne die Neugierde der Anwender und aktuell installierte Virenscanner nicht verbreiten könnte.

Pufferüberlauf gewährt Nutzern Root-Rechte. Der IT-Sicherheits-Spezialist iDefense warnt vor einer Sicherheitslücke im freien X-Server XFree86. Angreifern ist es durch einen Pufferüberlauf möglich, Root-Rechte zu erlangen.

Ähnliche Sicherheitslücke wie im Internet Explorer vom Januar 2004. Ein Ende Januar 2004 entdecktes Sicherheitsloch im Internet Explorer beim Umgang mit gefälschten CLASSIDs wurde nun auch in der Windows-Version des Opera-Browsers gefunden: Beiden Browsern können Dateien mit gefälschten Endungen untergeschoben werden, wie die Sicherheitsseite Secunia berichtet.

Microsofts Sicherheitsstrategie wird zur reinen Farce. Am Februar-Patch-Day des heutigen 11. Februar 2004 veröffentlichte Microsoft auch einen Patch für ein gefährliches Sicherheitsleck für alle Versionen des Windows Media Player. Allerdings geschah dies nicht - wie zu erwarten wäre - über das entsprechende Security Bulletin. Stattdessen veröffentlichte Microsoft alle Informationen darüber lediglich in einem Knowledge-Base-Artikel, womit die neue Sicherheitsstrategie von Microsoft jegliche Nachvollziehbarkeit verliert.

Security Bulletin für Februar 2004 neu aufgelegt; Patches für Windows-Versionen. Der ursprüngliche Plan von Microsoft - im Zuge einer neuen Sicherheitsstrategie Patches nur noch an einem monatlichen Patch-Day zu veröffentlichen - wurde offenbar aufgegeben. Denn nach nur einer Woche erschien das Security Bulletin für den Monat Februar 2004 noch einmal: Neben drei Sicherheitslöchern im Internet Explorer werden darin zwei weitere Sicherheitslecks in Windows behoben.

Lokaler Angriff erlaubt komplette Übernahme eines virtuellen PCs. Im Zuge der Neuauflage des Februar-Patch-Day veröffentlichte Microsoft auch ein Sicherheits-Update für die MacOS-Version von Virtual PC. Mit der Software können Mac-Anwender einen x86-PC simulieren und darüber etwa Windows-Anwendungen laufen lassen.

Patch korrigiert aktuellen IE-Patch; URL-Aufruf mit Zugangsdaten bleibt gesperrt. Unglaublich, aber wahr: Der jüngst von Microsoft veröffentlichte Patch zur Beseitigung von gleich drei Sicherheitslecks im Internet Explorer weist einen Fehler auf, so dass erneut ein Patch eingespielt werden muss. Der neue Patch ermöglicht jedoch das Einbinden von Nutzername und Kennwort in URLs nicht wieder, was der aktuelle IE-Patch ausgeschaltet hatte.

250.000 US-Dollar für Ergreifung des Wurm-Autors; MyDoom verbreitet sich weiter. Nach dem Erscheinen des ersten MyDoom-Wurms hat SCO eine Belohnung in Höhe von 250.000 US-Dollar zur Ergreifung des Autors des MyDoom-Wurms bereitgestellt, dem nun auch Microsoft folgt. Nachdem der erste Ableger von MyDoom nicht nur eine DoS-Attacke gegen SCO, sondern auch einen Angriff gegen Microsoft ausführen soll, vergibt auch Microsoft eine Belohnung von 250.000 US-Dollar für die Ergreifung des MyDoom.B-Schöpfers.

Fälschung von Dateiendungen möglich. Die Mailingliste Full Disclosure dokumentiert ein weiteres Sicherheitsloch im Internet Explorer, das nach einem ähnlichen Muster arbeitet wie der kürzlich bekannt gewordene Ordner-Bug in Windows XP. Ein Angreifer kann dem Internet Explorer Dateien mit falschen Endungen unterschieben, so dass ein Opfer vermeintlich sichere Dateien öffnet und so womöglich gefährlichen Programmcode ausführt.

Patch für Word 2003 erschienen; Mitte Februar 2004 Patch für Internet Explorer. Mit dem Erscheinen eines Patches für Word 2003 wird die neue Sicherheitsstrategie von Microsoft immer unverständlicher. Der eigenen Ankündigung nach wollte Microsoft eigentlich Patches für gefährliche Sicherheitslecks bei Bedarf unabhängig von dem nun monatlichen "Patch-Day" herausbringen, tat dies bislang jedoch nicht. Als überraschende Ausnahme veröffentlicht Microsoft nun einen Patch für einen aus Sicherheitsaspekten unbedeutenden Programmfehler in Word 2003. Eines der jüngsten Sicherheitslecks im Internet Explorer wird hingegen erst Mitte Februar 2004 beseitigt.

Patches für MacOS X 10.1.5, 10.2.8 sowie 10.3.2. Apple hat in einem Rutsch Patches für verschiedene MacOS-X-Ausführungen veröffentlicht, die unter anderem Sicherheitslücken beheben sollen. Aber auch einige sonstige Programmfehler will man mit dem Patch bereinigen.

Noch keine neue GAIM-Version verfügbar. Software-Sicherheitsexperte Stefan Esser hat zwölf Sicherheitslücken im Multi-Protokoll-Instant-Messenger GAIM entdeckt. Die recht beliebte Software läuft unter Linux, DSD, MacOS X und Windows und unterstützt diverse IM-Protokolle.

Sicherheitsleck in Windows XP erlaubt Tarnung von Programmdateien. Ein Beitrag in der Mailingliste Full Disclosure dokumentiert ein Sicherheitsleck in Windows XP, womit ein Angreifer ausführbare Dateien als Verzeichnis ausgeben und so das Starten einer entsprechenden Datei erreichen kann, ohne dass der Anwender dies bemerkt.

KDEPim anfällig gegen speziell päparierte .VCF-Dateien. Der freie Linux-Desktop KDE ist in der Version 3.1.5 erschienen. Die neue Version beseitigt einige Fehler und bietet eine überarbeitete Übersetzung. Vor allem wird aber eine Sicherheitslücke beseitigt, die bei Verarbeiten von .VCF-Dateien auftritt. Zumindest für die Version 3.1.4 wird auch ein Sicherheits-Patch angeboten.

Microsoft ignoriert Sicherheitsleck im Internet Explorer vom Dezember 2003. Microsoft veröffentlichte im Januar 2004 drei Security Bulletins, die verschiedene Sicherheitslecks in Microsoft-Produkten beheben sollen. Zwei der drei Sicherheitslücken werden von Microsoft als kritisch eingestuft. Unberücksichtigt blieb weiterhin das bereits Mitte Dezember 2003 entdeckte Sicherheitsleck im Internet Explorer, welches die korrekte URL in der Adresszeile des Browsers verschleiert.

Download einer Datei mit überlangem Dateinamen führt zu Buffer Overflow. Wie Tri Huynh auf der Mailingliste Bugtraq berichtet, weist der Yahoo Instant Messenger ein Sicherheitsleck auf, das es Angreifern ermöglicht, Programmcode auf einem anderen Rechner auszuführen. Yahoo bietet eine aktualisierte Version der Software zum Download an.

Fehler im Speichermanagement gefährdet Linux 2.2., 2.4 und 2.6. Der Sicherheitsexperte Paul Starzetz weist auf eine kritische Sicherheitslücke im Linux-Kernel hin, die es lokalen Nutzern erlaubt, beliebigen Code auch auf Kernel-Ebene auszuführen. Betroffen ist Linux 2.2, 2.4 und 2.6.

Opera unter Windows bis einschließlich Version 7.22 betroffen. Die Site Operash weist auf einen Fehler im Web-Browser Opera hin, der es Angreifern erlaubt, beliebige Dateien auf einem anfälligen System zu löschen. Betroffen ist Opera für Windows in der Version 7 bis einschließlich 7.22.

Microsoft bietet bislang keinen Patch zur Abhilfe an. Im Internet Explorer wurde ein Fehler entdeckt, um die tatsächliche URL in der Adresszeile zu verschleiern und vorzugeben, eine ganz andere Webseite zu besuchen. Damit können Anwender dazu gebracht werden, sensitive Daten an eine bösartige Webseite zu übermitteln und dabei in den Glauben versetzt werden, diese Daten an eine vertrauenswürdige Seite zu senden.

Trotz bekannter Sicherheitslecks keine Sicherheits-Patches für Dezember 2003. Wie Microsoft bekannt gab, wird das Unternehmen im Dezember 2003 auf die Veröffentlichung der monatlichen Sicherheits-Patches verzichten. Die Ankündigung überrascht, da Ende November 2003 weitere schwere Sicherheitslöcher im Internet Explorer entdeckt wurden, ohne dass Microsoft bislang entsprechende Patches veröffentlicht hätte.

Patch-Einspielung gelingt nur mit dem Internet Explorer. Für die am 3. Dezember 2003 bekannt gewordene Sicherheitslücke im Yahoo Messenger bietet Yahoo einen Patch, um das Problem zu bereinigen. Während der Entdecker das Sicherheitsleck als gefährlich einstuft, sieht Yahoo keine große Gefahr darin.

Free Software Foundation und Debian wollen eng zusammenarbeiten. Nachdem am 21. November 2003 bekannt wurde, dass Unbekannte eine Sicherheitslücke im Linux-Kernel nutzten und in die Server des Debian-Projekts eingedrungen sind, wurden jetzt auch Einbrüche in Server von Gentoo und der Free Software Foundation (FSF) bekannt.

Erfolgreiche Einspeisung eines Trojanischen Pferdes belegt Gefährlichkeit. Gemäß den Informationen von Tri Huynh weist der Yahoo Messenger der Version 5.6.0.1347 und niedriger ein schwerwiegendes Sicherheitsleck auf, worüber Angreifer Programmcode auf ein System schleusen und diesen ausführen können. Nach Erkenntnissen von Tri Huynh ließ sich so ohne großen Aufwand etwa ein Trojanisches Pferd in ein System einschleusen, um den betreffenden Rechner so zu belauschen.

Linux-Kernel schuld am Einbruch in die Server des Debian-Projekts. Vor knapp zwei Wochen wurde ein Einbruch in einige Server des Debian-Projekts bekannt. Dabei wurde offenbar eine Sicherheitslücke im Linux-Kernel ausgenutzt, die es lokalen Nutzern erlaubt, Root-Rechte zu erlangen. Im Fall des Debian-Projekts wurde der Account eines Entwicklers genutzt.

LDAP-Server müssen sich gegenüber MacOS X nicht authentifizieren. Ein Security Advisory von William Carrel beschreibt Probleme von MacOS X beim Umgang mit LDAP-Servern, da entsprechende Zugriffe nicht korrekt geprüft werden. So kann ein Angreifer etwa über ein WLAN-Netzwerk ohne großen Aufwand auf Daten eines PCs mit MacOS X zugreifen, ohne dass der Nutzer etwas davon bemerkt. Derzeit bietet Apple nur einen Workaround an; einen Patch zur Behebung dieses Architektur-Problems gibt es bislang nicht.

Mit GnuPG erzeugte ElGamal-Schlüssel sind kompromittierbar. Die freie Verschlüsselungssoftware GnuPG enthält eine schwere Sicherheitslücke, die es erlaubt, mit ihr generierte ElGamal-Schlüssel zu kompromittieren. Die Sicherheitslücke ermöglicht es, entsprechende Schlüssel in Sekunden zu knacken, warnt Entwickler Werner Koch, der zugleich einen entsprechenden Patch veröffentlichte.

Angreifer kann beliebigen Programmcode installieren und ausführen. Im Internet Explorer wurden vier weitere Sicherheitslecks entdeckt, womit sich in Kombination der verschiedenen Verfahren Programme installieren und ausführen lassen. Nach derzeitigem Kenntnisstand soll der Internet Explorer in der Version 6.0 betroffen sein, womöglich tritt das Problem aber auch mit dem Internet Explorer 5.x auf. Microsoft bietet bislang keinen Patch an.

Quellcode der zlib 1.2.1 steht zum Download bereit. Die Kompressionsbibliothek zlib ist jetzt in der Version 1.2.1 erschienen. Die Entwickler versprechen zahlreiche Verbesserungen, darunter mitunter deutliche Leistungssteigerungen einiger Programmteile von über 50 Prozent.

Opera 7.23 für Windows, Linux, Solaris und FreeBSD soll für Abhilfe sorgen. Im Opera-Browser der Version 7.x wurden zwei Sicherheitslücken bekannt, die es einem Angreifer erlauben, Programmcode auszuführen oder über eine Backdoor Zugang zum System zu erlangen. Außerdem wurde eine Sicherheitslücke in OpenSSL bereinigt. Zum Stopfen der Sicherheitslücken bietet Opera lediglich eine Vollinstallation in Form von Opera 7.23 für die betroffenen Plattformen Windows, Linux, Solaris und FreeBSD an.

Sicherheitslücken in MacOS X 10.2.8 sowie MacOS X 10.3.1. Erneut bietet Apple Sicherheits-Patches an, wobei dieses Mal zeitgleich Updates für MacOS X 10.2.8 MacOS X 10.3.x erschienen sind. Mit den Patches werden sieben Sicherheitslücken in MacOS X 10.2.8 behoben, während zwei davon auch in MacOS X 10.3.1 stecken, wogegen das Update für Abhilfe sorgen soll.

Patch von Mitte Oktober 2003 ersetzt eine Datei unter Windows XP nicht korrekt. Mitte Oktober 2003 veröffentlichte Microsoft sieben verschiedene Sicherheits-Patches für mehrere Microsoft-Produkte. Eines der Patches arbeitet auf Systemen mit Windows XP allerdings nicht korrekt, so dass dieser Patch erneuert werden musste und entsprechenden Nutzern die erneute Einspielung des Patches empfohlen wird.

Nur Windows 2000 mit Service Pack 4 von dem Problem betroffen. Wie Microsoft mitteilt, wurde ein aus dem September 2002 stammendes Security Bulletin überarbeitet, weil der darin enthaltene Patch unter bestimmten Umständen vom Service Pack 1 für den Internet Explorer 6.0 außer Kraft gesetzt wird. Der Patch behebt eine Sicherheitslücke beim Prüfen von SSL-Zertifikaten in mehreren Windows-Systemen sowie in MacOS-Software aus Redmond.

Opera 7.22 für Windows, Linux, Solaris und FreeBSD bereinigt Sicherheitsleck. Der Opera-Browser enthält bis einschließlich zur Version 7.21 eine Sicherheitslücke, die es Angreifern erlaubt, Dateien auf ein anderes System zu schleusen, ohne dass diese jedoch ausgeführt werden können. Einen Patch gegen das Sicherheitsloch bietet Opera nicht an, sondern verlangt die Einspielung der aktuellen Opera-Version 7.22 für Windows, Linux, Solaris und FreeBSD.

Sicherheitslecks gestatten Angreifern unerlaubte Ausführung von Programmcode. Mit einem Schlag informiert Microsoft über mehrere Sicherheitslecks, welche in verschiedenen Produkten aus Redmond stecken. So sind neben Windows 2000, XP auch Word, Excel sowie die FrontPage Server Extensions betroffen. Ohne eingespielte Patches können Angreifer Programmcode auf einem fremden System ausführen. Alle Sicherheitslecks werden von Microsoft als kritisch eingestuft.

Angreifer können Programmcode ausführen und Dateien einsehen. Für den Internet Explorer 5.01, 5.5 und 6.0 bietet Microsoft einen Sammel-Patch an, der alle bislang veröffentlichten Sicherheits-Patches umfassen sowie fünf neue Lecks beheben soll. Ohne eingespielte Patches können Angreifer Dateien ausspionieren oder Programmcode auf einem fremden System ausführen. Alle Sicherheitslecks werden von Microsoft für mehrere Versionen des Internet Explorer als kritisch eingestuft.

Kurze "menschliche" Passwörter können per Wörterbuch-Attacke ausspionert werden. Nachdem die WEP-Verschlüsselung schon seit letztem Jahr als nicht mehr wirklich sicher gilt und beim Unternehmenseinsatz deshalb zusätzliche Verschlüsselungsmaßnahmen getroffen werden sollten, soll auch der WEP-Nachfolger "Wi-Fi Protected Access" (WPA) eine gravierende Schwäche haben: Werden nur kurze Passwörter auf Basis normaler Wörter eingesetzt, so reicht - auf Grund einer Schwäche in der Passwort-Eingabe von WPA-fähigen Access-Points und WLAN-Adapter - eine Wörterbuch-Attacke, um das Netz anzugreifen, ohne dass dazu ein direkter Zugriff auf WLAN notwendig ist, so Robert Moskowitz von TruSecure.

Belohnungen zur Ergreifung der Verantwortlichen für Blaster- und Sobig-Wurm. Microsoft gründete ein so genanntes "Anti-Virus-Reward-Program", um weltweit die Jagd auf Verantwortliche für die Verbreitung von Würmern und Viren zu unterstützen. Bei der Gründung erhielt die Initiative ein Startkapital von 5 Millionen US-Dollar, wovon bereits ein Teil der Summe für die Ergreifung und Verurteilung aktueller Wurm-Verbreiter zur Belohnung ausgesetzt wurde. Damit will Microsoft die zuständigen Ermittlungsbehörden bei der Fahndung nach den Verursachern unterstützen.

Weiterer Patch stopft Sicherheitsleck in MacOS X 10.3. Mit einem aktuellen Security Update behebt Apple ein weiteres Sicherheitsleck in dem jüngst erschienenen MacOS X 10.3 alias Panther. Demnach weist die Terminal-Applikation im Betriebssystem ein Sicherheitsleck auf, worüber ein Angreifer ohne Berechtigung auf das System zugreifen kann.

Mimail-Wurm fälscht E-Mail-Adresse und führt Denial-of-Service-Attacken aus. Wie Hersteller von Antiviren-Software übereinstimmend berichten, verbreiten sich drei Varianten des Mimail-Wurms stark im Internet. Im Unterschied zum Original-Wurm verbreitet sich der Wurm, ohne dass eine Sicherheitslücke in Outlook Express ausgenutzt wird. Der Wurm führt eine Denial-of-Service-Attacke aus, während Mimail.C sensitive Informationen des infizierten Systems stiehlt.

Bislang keine Patches für frühere Versionen von MacOS X im Angebot. Nach Apple-Informationen behebt das kürzlich erschienene MacOS X 10.3 gleich 14 Sicherheitslecks in früheren Versionen von MacOS X, für welche bislang keine separaten Patches angeboten werden. Wer also derzeit ein älteres System vor Angriffen bewahren möchte, muss das kostenpflichtige Update auf MacOS X 10.3 kaufen. Als Weiteres wurde bereits ein Patch für MacOS X 10.3 veröffentlicht, welcher ein Sicherheitsleck in QuickTime Java bereinigen soll.

Sober-Wurm fälscht häufig Absenderadresse und verschleiert so die Herkunft. Im Internet kursiert derzeit ein E-Mail-Wurm namens Sober, der sich als Besonderheit mit deutschem Nachrichtentext samt deutschsprachiger Betreffzeile versendet und zudem häufig eine gefälschte Absenderadresse verwendet. Bislang registrierten die Hersteller von Antiviren-Software keine starke Verbreitung, jedoch deutet sich eine starke Ausweitung im deutschen Sprachraum an: Der seit Freitagabend aktive Wurm erreichte die Redaktion von Golem.de bereits unzählige Male, was auf eine recht hohe Verbreitung hindeutet.

Sicherheitsleck erlaubt die Umgehung der Restriktionen der Java-Sandbox. Sun bietet ab sofort einen Patch für die Java Virtual Machine an, um ein Sicherheitsloch zu stopfen, worüber Angreifer die Sandbox-Restriktionen umgehen und so auf prinzipiell alle Bereiche des Rechners zugreifen können. Entdeckt wurde das Sicherheitsloch von Last Stage of Delirium (LSD) bereits Anfang Juni 2003, allerdings hat man mit einer Veröffentlichung der betreffenden Informationen gewartet, bis nun entsprechende Patches zum Download bereitstehen.