Microsoft: Sieben auf einen Streich
Wie angekündigt veröffentlichte Microsoft sieben Patches zum Februar-Patchday – zwei davon beheben als kritisch eingestufte Sicherheitslöcher.
Wie angekündigt veröffentlichte Microsoft sieben Patches zum Februar-Patchday – zwei davon beheben als kritisch eingestufte Sicherheitslöcher.
Das Security-Bulletin MS06-004 behebt eine kritische WMF-Lücke unter Windows 2000 im Zusammenspiel mit dem Internet Explorer 5.01; sie hat aber nichts mit der WMF-Lücke zu tun, die Ende vergangenen Jahres entdeckt wurde. Das zweite kritische Sicherheitsleck betrifft den Windows Media Player ab Version 7 in den Betriebssystemen von Windows 2000 bis Windows Server 2003. Dieser patzt beim Verarbeiten von präparierten Bitmaps, was Angreifer über manipulierte Webseiten oder E-Mails ausnutzen könnten, um in das System einzudringen.
Nur als "Important", also wichtig, stuft das Redmonder Unternehmen einen Fehler im Windows-Media-Player-Plugin für nicht-Microsoft-Webbrowser ein. Durch eine fehlerhafte Verarbeitung von EMBED-Tags könnte ein Angreifer Code über Webseiten oder E-Mails einschmuggeln und zur Ausführung bringen.
Windows XP ab SP1 und Windows Server 2003 sowie deren 64-Bit-Pendants sind anfällig für einen Denial-of-Service durch präparierte IGMPv3-Pakete. Das Internet Group Management Protocol dient zur gezielten Bedienung von dynamisch erstellten Gruppen mit IP-Paketen im Multicast-Verfahren. Mit dem Security-Bulletin MS06-007 schließt Microsoft diesen wunden Punkt. Dieselben Betriebssysteme lassen sich ohne das Update MS06-008 über Web-Client-Anfragen Code unterschieben, wodurch Angreifer die vollständige Kontrolle über die Rechner erlangen können. Der Web-Client dient dazu, Dateien nach dem WebDAV-Standard im Internet zu bearbeiten und abzulegen.
Einen weiteren Fehler, durch den Benutzer ihre Berechtigungen erhöhen können, behebt Microsoft in Office 2003, Windows XP ab SP1 und Windows Server 2003. Der Eingabe-Editor für koreanische Schriftzeichen (Input Method Editor, IME) stellt in manchen Fällen Funktionen mit dem Kontext LocalSystem bloß. Die letzte gestopfte Lücke des heutigen Patchdays betrifft Microsofts Präsentationsprogramm Powerpoint 2000. Sie ermöglicht unbefugten Benutzern über das Netz den Zugriff auf Dateien im Ordner Temporary Internet Files, wenn ihnen die Dateinamen bekannt sind.
Es ist zu erwarten, dass nun nach der Veröffentlichung von Details zu den Lücken sehr bald Exploits im Netz auftauchen, die diese Schwachstellen ausnutzen. Daher sollten die Microsoft-Updates zügig eingespielt werden, beispielsweise durch manuelles Anstossen des Windows Update.
Siehe dazu auch: (dmk)
- Deutsche Übersicht zum Februar-Patchday von Microsoft
- Microsoft Security Bulletin Summary for February 2006 Übersicht über die Patches am Februar-Patchday (engl.)
- Cumulative Security Update for Internet Explorer (MS06-004)
- Vulnerability in Windows Media Player Could Allow Remote Code Execution (MS06-005)
- Vulnerability in Windows Media Player Plug-in with Non-Microsoft Internet Browsers Could Allow Remote Code Execution (MS06-006)
- Vulnerability in TCP/IP Could Allow Denial of Service (MS06-007)
- Vulnerability in Web Client Service Could Allow Remote Code Execution (MS06-008)
- Vulnerability in the Korean Input Method Editor Could Allow Elevation of Privilege (MS06-009)
- Vulnerability in PowerPoint 2000 Could Allow Information Disclosure (MS06-010)
