Sicherheitslücke

Sammel-Patch für Internet Explorer 5.01, 5.5 und 6.0 soll Probleme beheben. In Microsofts Internet Explorer sind vier weitere Sicherheitslücken entdeckt worden, die nun mit einem Sammel-Patch gestopft werden können. Eines der Sicherheitslöcher erlaubt es einem Angreifer, beliebigen Programmcode auf einem fremden System auszuführen. Der Sammel-Patch für den Internet Explorer 5.01, 5.5 und 6.0 soll zudem alle bislang bekannten Sicherheitslecks reparieren.

Schweres Sicherheitsleck in Outlook Express 5.5 und 6.0. Über eine schwere Sicherheitslücke in Outlook Express 5.5 und 6.0 berichtet Microsoft in einem aktuellen Security Bulletin. Über das Sicherheitsloch kann ein Angreifer beliebige Programme auf einem fremden System ausführen. Zur Abhilfe stellt Microsoft einen Sammel-Patch bereit, der auch frühere Sicherheitslecks in Outlook Express stopfen soll.

Patch behebt auch frühere Sicherheitslücken. Auf Grund eines weiteren Sicherheitslochs in der Java Virtual Machine von Microsoft veröffentlichte der Hersteller nun einen Sammel-Patch, der auch alle kürzlich veröffentlichten Sicherheits-Updates umfasst. Die neue Sicherheitslücke erlaubt es einem Angreifer, Daten zu verändern, Programme auszuführen oder die Festplatte zu formatieren.

Samba 2.2.8a schließt die Sicherheitslücke. Digital Defense hat eine kritische Sicherheitslücke in der Netzwerksoftware Samba entdeckt. Diese findet sich in allen derzeit stabilen Samba-Versionen bis einschließlich 2.2.8.

Aktualisierter SETI@home-Client behebt mehrere Sicherheitslecks. Das SETI@home-Projekt stellt ab sofort einen aktualisierten Client zum Download zur Verfügung, der zahlreiche Sicherheitslücken in der Software beseitigen soll. Das Projekt SETI@home an der Universität Berkeley nutzt die Rechenkapazitäten der an das Internet angeschlossenen Rechner, um außerirdische Lebensformen aufzuspüren.

Vorerst nur englischsprachige Version als Download erhältlich. Apple bietet ab sofort den QuickTime-Player in der überarbeiteten Version 6.1 in englischer Sprache zum Download an. Die neue Version für die Windows-Plattform behebt ein Sicherheitsleck der Software, worüber ein Angreifer weitgehende Kontrolle über ein System erlangen kann. Wann ein Update für die deutschsprachige Version von QuickTime erscheint, ist derzeit nicht bekannt.

Hacker finden Sicherheitsleck in EA-Spiel. Anscheinend ist es einem findigen Hacker gelungen, Linux auch ohne Modchip auf einer Xbox-Konsole zum Laufen zu bringen. Hierzu nutzen sie ein Sicherheitsleck im James-Bond-Xbox-Spiel "007 - Agent Under Fire".

Neue Version 8.12.9 behebt den Fehler. Bereits zum zweiten Mal innerhalb eines Monats wurde jetzt eine kritische Sicherheitslücke in Sendmail bekannt. Diese lässt sich zu Denial-of-Service-Attacken nutzen, aber verschafft auch Angreifern die Möglichkeit, Befehle unter dem User-Account, unter dem Sendmail läuft, auszuführen - typischerweise root.

NGSSoftware: Sicherheitsleck in Windows 2000 auch ohne IIS 5.0 nutzbar. Die am 18. März 2003 vermeldete Sicherheitslücke in Windows 2000 macht Microsoft erneut Schwierigkeiten. Nachdem der Patch auf bestimmten Systemen mit Windows 2000 und installiertem Service Pack 2 das System unbrauchbar machte, äußern Experten nun Zweifel an den Microsoft-Einstufungen zu den Gefahren des Sicherheitslecks.

Systeme mit Service Pack 2 für Windows 2000 anfällig für Schwierigkeiten. In einem NTBugtraq-Artikel berichtet Russ Cooper über einige Probleme bei der Installation des Anfang dieser Woche (18. März 2003) erschienenen Patches für Windows 2000. So soll es Schwierigkeiten auf manchen Systemen geben, die bislang nur mit dem Service Pack 2 von Windows 2000 ausgerüstet sind. Hier soll die Einspielung des Service Packs 3 für Windows 2000 Abhilfe schaffen.

Active-Scripting-Leck erlaubt die Ausführung von Programmcode. In einem aktuellen Security Bulletin berichtet Microsoft über eine Sicherheitslücke der Scripting Engine von Active Scripting, die als Bestandteil des Internet Explorers in zahlreichen Windows-Versionen zum Einsatz kommt. Das Sicherheitsloch erlaubt einem Angreifer die Ausführung beliebigen Programmcodes. Microsoft stuft das Sicherheitsrisiko dieses Programmfehlers als kritisch ein.

"Remote Exploit" angeblich nicht möglich. Eine Sicherheitslücke im Linux-Kernel erlaubt es lokalen Angreifern, Root-Rechte auf verwundbaren Systemen zu erlangen. Patches für die aktuellen stabilen Kernel-Serien stehen bereit.

Patch für die von Microsoft als kritisch eingestufte Sicherheitslücke erhältlich. In der WebDAV-Implementierung von Windows 2000 steckt ein Sicherheitsleck, worüber ein Angreifer auf einen damit verbundenen Internet Information Server (IIS) 5.0 zugreifen kann. Die Sicherheitslücke erlaubt die Ausführung beliebigen Programmcodes auf dem Server, so dass ein Angreifer weitreichende Kontrolle über das System erlangt. Microsoft bietet mittlerweile einen entsprechenden Patch zur Abhilfe an; das Sicherheitsrisiko durch den Programmfehler stuft Microsoft als kritisch ein.

Neue Version Samba 2.2.8 erschienen. Im Hauptmodul von Samba, smbd, wurde jetzt eine Sicherheitslücke entdeckt, die es einem externen Angreifer erlaubt, Super-User-Recht (Root-Rechte) auf einem entsprechenden Server zu erlangen. Das Problem existiert in allen Samba-Versionen von 2.0.x bis einschließlich 2.2.7a.

Neue Technologie soll Sicherheitslücke in Unternehmensnetzen schließen. Die webwasher AG stellt auf der CeBIT 2003 eine Lösung vor, die die Filterung von SSL-verschlüsseltem Web-Verkehr ermöglicht. Damit will das Unternehmen die "zurzeit größte Sicherheitslücke in den Netzen von Unternehmen und Behörden" schließen.

Keine neuen Funktionen für den Linux-Browser. Ab sofort bietet Opera die Linux-Version des norwegischen Browsers in der Version 6.12 zum Download an. Damit sollen einige Programmfehler behoben werden. Neue Funktionen bietet die aktuelle Version nicht.

Verkäufer-Daten unsicher gelagert. Nach Angaben von Axel Gronen, der eine informative Seite über Wortfilter bei eBay unterhält, können durch eine Sicherheitslücke beim Online-Auktionsveranstalter eBay hinterlegte Kontodaten von Verkäufern von Unbefugten eingesehen werden.

Programmausführung außerhalb der Sandbox möglich. Macromedia bietet ab sofort ein Sicherheits-Update für den Flash-Player für die Windows-Plattform an, das eine kritische Sicherheitslücke in der Software behebt. Über ein Sicherherheitsleck in der Sandbox erhält ein Angreifer Zugang über einen anderen Rechner und kann darauf Programmcode ausführen.

Spezielle E-Mail ermöglicht Root-Rechte auf verwundbaren Systemen. Internet Security Systems (ISS) hat eine Sicherheitslücke im Sendmail Mail Transfer Agent (MTA) entdeckt, dem noch immer am weitesten verbreiteten MTA mit einem geschätzten Marktanteil zwischen 50 Prozent und 75 Prozent. Durch einen Buffer-Overflow ist es möglich, auf einem verwundbaren System Root-Rechte zu erlangen.

Über 30 gefährliche Sicherheitslecks im Internet Explorer im Jahr 2002 entdeckt. Der halbjährlich erscheinende Internet Security Threat Report von Symantec, einem Anbieter von Sicherheitslösungen für den IT-Bereich, berichtet über eine deutliche Zunahme und eine höhere Gefährdung der entdeckten Sicherheitslöcher in Microsofts Web-Browser Internet Explorer im vergangenen Jahr. Besonders die explosionsartige Verbreitung einiger Internet-Würmer wurde so erst möglich.

60 Prozent aller bekannten Sicherheitslücken sind leicht auszunutzen. Der halbjährlich erscheinende Internet Security Threat Report des Sicherheits-Unternehmens Symantec spricht sich dafür aus, Sicherheitslücken in Programmen trotz der dadurch verursachten Risiken aufzudecken. Ansonsten bestehe die große Gefahr, dass erfahrene Angreifer geheim gehaltene Sicherheitslecks ausnutzen und so enormen Schaden anrichten können, weil sich die Opfer in Ermangelung der notwendigen Informationen nicht schützen können.

Hilfe-Funktion erlaubt Angreifern die Ausführung von Programmcode. Wie Microsoft in einem aktuellen Security Bulletin berichtet, weist die Hilfefunktion in Windows Millennium ein schwerwiegendes Sicherheitsloch auf, worüber Angreifer beliebigen Programmcode ausführen können. Einen entsprechenden Patch bietet Microsoft über die Windows-Update-Funktion an.

Opera 7.02 mit höherer Stabilität und einigen Optimierungen. Opera bietet die Windows-Version des Browser Opera 7 ab sofort in der Version 7.02 als Download an. Die neue Version bringt nur wenige Verbesserungen und keine Neuerungen. Allerdings wird damit auch gleich ein neu entdecktes aber eher unkritisches Sicherheitleck behoben.

Neue Version und Patch bereits erhältlich. Die freie SSL-Implementierung OpenSSL enthält eine Sicherheitslücke, die es Angreifern ermöglicht, Usernamen und Passwörter auszuspionieren. Sowohl Patches als auch neue Versionen von OpenSSL, die das Problem beheben, sind bereits erschienen.

Kritische Sicherheitslücke in PHPs CGI-Modul. Die PHP-Group hat ein Update ihrer freien Scriptsprache veröffentlicht, die eine kritische Sicherheitslücke in der CGI-Anbindung behebt. Andere Änderungen enthält die Version 4.3.1 nicht.

Administrator-Rechte für Windows XP ohne Abfrage eines Kennwortes. Wie die Website briansbuzz.com berichtet, verhilft eine Windows-2000-Boot-CD zu einem Administrator-Zugang zu einem Rechner mit Windows XP, ohne dass man das entsprechende Kennwort wissen muss. Dazu muss der Rechner lediglich mit Hilfe einer Windows-2000-CD gestartet werden.

Sammel-Patch macht Zugriff auf anmeldepflichtige Webseiten unmöglich. Wie Microsoft in einem aktuellen Knowledge-Base-Artikel berichtet, benötigt der am 6. Februar erschienene Sammel-Patch für den Internet Explorer einen Patch. Ohne diesen Patch können beim Internet Explorer 6.0 Probleme beim Zugriff auf anmeldepflichtige Webseiten auftreten.

Disput zwischen Epic Games und PivX Solutions. Nachdem das amerikanische Unternehmen PivX Solutions eine Sicherheitslücke in der von Epic Games entwickelten Unreal-Engine festgestellt hat, scheint ein Streit zwischen den beiden Unternehmen über die Veröffentlichung dieser Probleme entbrannt zu sein. Laut diversen Berichten plante Epic Games vorübergehend sogar, PivX auf Grund der Veröffentlichung der Probleme zu verklagen.

Sicherheitsloch betrifft Geräte xda von O2 und mda von T-Mobile. Wie die Website teltarif.de berichtet, weisen alle Geräte mit der WindowsCE-Version Pocket PC 2002 Phone Edition ein empfindliches Sicherheitsleck auf. Demnach legt das Betriebssystem die PIN der SIM-Karte unverschlüsselt im Klartext in der Registry-Datenbank ab. Bei einem Diebstahl oder anderweitigem Verlust des Geräts können Unbefugte sich so ohne Aufwand im Handy-Netz des Betroffenen anmelden und auf deren Kosten telefonieren.

Sicherheitslücke erlaubt die Ausführung von Programmen mit höheren Rechten. Wie Microsoft in einem aktualisierten Security Bulletin berichtet, musste ein Patch für Windows NT 4.0 aktualisiert werden, weil der Mitte Dezember 2002 veröffentlichte Patch offenbar nicht die gewünschte Wirkung zeigt. Die anderen Bugfixes für Windows 2000 und XP sind davon nicht betroffen.

Angreifer können Programmcode ausführen oder System zum Absturz bringen. Windows XP verwendet den Windows Redirector für den Zugriff auf Dateien, egal ob diese lokal auf einer lokalen Festplatte oder auf einem Netzlaufwerk liegen. In dieser Komponente entdeckte Microsoft eine empfindliche Sicherheitslücke, die ein bereitgestellter Patch beseitigen soll.

Sammel-Patch behebt neue Sicherheitslecks im Cross-Domain Security Model. Microsoft bietet ab sofort einen weiteren Sammel-Patch für den Internet Explorer der Versionen 5.x, 5.5x und 6.x für die Windows-Plattform an. Neben bisher bekannten Sicherheitslecks behebt der Patch auch zwei bisher nicht beseitigte Sicherheitslücken, die im Cross-Domain Security Model des Browsers stecken.

Eklat um die Art der Bekanntmachung der Sicherheitslöcher. Einen Tag nachdem das israelische Sicherheitsunternehmen GreyMagic über zahlreiche Sicherheitslücken in den JavaScript-Funktionen der Windows-Version von Opera 7.0 berichtet hat, bieten die Norweger eine korrigierte Version zum Download an.

Wurm brachte in 3 Minuten das Netz zum Wanken. Der am letzten Januar-Wochenende ausgebrochene Wurm SQL-Slammer alias Sapphire gilt als der sich am schnellsten verbreitende Wurm bislang. Einer Analyse der CIADA (Cooperative Association for Internet Data Analysis) zufolge hatte der Wurm in nur 10 Minuten rund 90 Prozent aller verwundbaren Systeme infiziert. Zu Beginn des Ausbruch verdoppelte sich seine Ausbreitung alle 8,5 Sekunden.

Opera reagiert einen Tag später; Deaktivieren von JavaScript umgeht Schäden. Die israelische Sicherheitsfirma GreyMagic berichtet über mehrere JavaScript-Sicherheitslecks in dem Windows-Browser Opera 7, die Opera einen Tag später mit einer neuen Version bereinigt hat. Einige der Sicherheitslöcher wurden bereits in den Beta-Versionen entdeckt und an Opera Software weitergeleitet.

Anti-Spam-Tool erlaubt Angreifen das Ausführen eigenen Codes. Die Anti-Spam-Software SpamAssassin enthält eine Sicherheitslücke, die es Angreifern erlaubt, beliebigen Code auf einem so verwundbaren System auszuführen. Betroffen sind die Versionen 2.40 bis 2.43 von SpamAssassin.

Sicherheitslücke nicht nur im MS SQL Server 2000 vorhanden. Die von dem am Wochenende aufgetauchten Wurm SQL Slammer genutzte Sicherheitslücke im Microsoft SQL Server 2000 existiert prinzipiell auch in anderen Microsoft-Datenbanken, so der Hersteller. Demnach sollten auch Nutzer des SQL Server 7.0, der Microsoft Data Engine (MSDE) 1.0 und der Microsoft Desktop Engine (MSDE) 2000 ihre Systeme mit dem entsprechenden Patch absichern.

"SQL Slammer" verursacht enormen Internet-Traffic. Anti-Viren-Hersteller, Computer-Sicherheitsunternehmen und auch Microsoft warnen vor einem neuen Wurm, der sich offenbar rasant im Internet ausbreitet. Der Wurm "SQL Slammer" nutzt eine Sicherheitslücke bei Microsofts SQL Server und greift von infizierten Systemen aus per Zufall andere Systeme im Internet an. Dabei verursacht der Wurm einen enormen Traffic. Internet Security Systems berichtet von mehreren Milliarden Angriffen durch Slammer in nur zwölf Stunden.

Sicherheitslücke steckt im Locator Service der Windows-Systeme. Microsoft gesteht eine Sicherheitslücke in Windows NT 4.0, 2000 und XP ein, die jedoch nur die meist standardmäßig deaktivierte Komponente "Locator Service" betrifft. Der Dienst überträgt die Namen von an einem Netzwerk angemeldeten Rechnern in Netzadressen und kann durch das Leck zur unberechtigten Programmausführung verwendet werden. Microsoft bietet Patches für alle drei Betriebssysteme an.

Uni-Rechenzentrum Freiburg entdeckt Systemfehler mit weitreichenden Folgen. Das Rechenzentrum der Universität Freiburg hat eine Sicherheitslücke im AOL-System vermeldet, die jedem T-DSL-Nutzer die kostenlose Nutzung des AOL-DSL-Dienstes erlaubt haben soll. AOL wurde vom Rechenzentrum bereits auf das Problem hingewiesen, um weiteren wirtschaftlichen Schaden zu verhindern.

Sammel-Patch behebt auch eine neue Sicherheitslücke. Microsoft bietet ab sofort einen Sammel-Patch für den Content Management Server 2001 an, der alle bisher einzeln veröffentlichten Patches enthalten und somit alle bekannten Programmfehler beseitigen soll. Ferner wird damit auch ein neu entdecktes Sicherheitsleck gestopft. Microsoft weist darauf hin, dass alle System-Administratoren den entsprechenden Patch unverzüglich einspielen sollten.

Outlook 2002 erstellt fehlerhaftes V1 Exchange Server Security Zertifikat. Eine Sicherheitslücke bei der Erstellung eines V1 Exchange Server Security Zertifikats über Outlook 2002 und einen Exchange-Server sorgt dafür, dass die E-Mail nicht verschlüsselt wird. Dadurch lässt sich eine vermeintlich verschlüsselte E-Mail ohne Probleme von Dritten einsehen. Microsoft stellt einen Patch bereit, der allerdings vorerst nur in englischer Sprache zu haben ist.

Angreifer können unter Umständen Root-Rechte erlangen. Eine kritische Sicherheitslücke im Concurrent Versions System (CVS) hat Stefan Esser von der Firma e-matters entdeckt. CVS wird in der Softwareentwicklung zur Verwaltung von Quelltexten eingesetzt und ist insbesondere im Open-Source-Umfeld das dominierende System. CVS bis zur Version 1.11.4 erlaubt es Angreifern unter Umständen eigenen Code auf einem entsprechenden Server auszuführen.