computerwoche.de

Web

Windows offen wie ein Scheunentor: Microsoft warnt vor 21 Lecks

13.10.2004
Zehn Advisories umfasst das Security Bulletin von Microsoft für den Monat Oktober. Beseitigt werden sollen Sicherheitslücken in Windows und Anwendungen.

Zehn Advisories umfasst das Security Bulletin von Microsoft für den Monat Oktober. Beseitigt werden sollen Sicherheitslücken in verschiedenen Windows-Versionen, in Microsoft Office, in Exchange und im Internet Explorer (IE). Sieben der Advisories beschreiben als "kritisch" eingestufte Lecks, die restlichen bewertet Microsoft als "hoch".

Zu den kritischen Fehlern zählen Anfälligkeiten der Fensterverwaltung, der virtuellen DOS-Engine, des Grafikwiedergabemoduls und des Kernels der Windows-Versionen NT Server 4.0, 2000, XP, Server 2000 (inklusive 64-Bit-Editionen) sowie der nicht mehr unterstützen Betriebssyem-Varianten 98 und ME. Lediglich Windows XP mit SP2 ist laut Microsoft nicht betroffen. Über die Lecks können sich Angreifer Administratorenrechte verschaffen, beliebige Schadroutinen von entfernten Standorten aus ausführen und DoS-Attacken (Denial of Service) starten. Die mit dem Advisory MS04-032 veröffentlichten Updates sollen Abhilfe schaffen.

MS04-033 beschreibt ein Leck in der Tabellenkalkulation "Excel", das die Ausführung beliebigen Codes von Remote-Standorten aus ermöglicht. Betroffen sind die Office-Versionen 2000 und XP (SP2) sowie die Varianten 2001 und X für Mac-OS. Patches stehen zur Verfügung. Office XP mit installiertem SP3 sowie Excel 2003 und 2004 (Mac OS) sind laut Hersteller sicher.

Die integrierte ZIP-Funktion der Windows-Varianten XP (inklusive SP1 und 64-Bit-Version) sowie Server 2003 bergen das gleiche Risiko wie Excel. Wenn ein Benutzer mit Administratorenrechten angemeldet ist, können Angreifer die vollständige Kontrolle über betroffene System erlangen, warnt Microsoft im Advisory MS04-034, das Updates bereitstellt.

Auch die SMTP-Komponente (Simple Mail Transfer Protocol) verschiedener Windows-Versionen offenbart diese Möglichkeit. Betroffen sind Windows Server 2003 (auch 64-Bit-Edition) die Version 2003 der Windows XP 64-Bit Edition sowie Exchange Server 2003 (auch mit SP1) unter Windows Server 2003 und Exchange Server 2003 unter Windows 2000 (SP3 und SP4). Patches hat Microsoft mit dem Advisory MS04-035 veröffentlicht.

Gleiches gilt für die NNPT-Komponente (Network News Transfer Protocol) der Windows-Versionen NT Server 4.0 (SP 6a), 2000 Server (SP3, SP4), Server 2003 (auch 64 Bit), Exchange 2000 (SP3) und Exchange Server 2003 (MS04-036). Die Windows Shell lässt Angreifer ebenfalls auf den Rechner (MS04-037)

In sich hat es das kumulative Sicherheits-Update (MS04-038) für den IE der Versionen 5.01, 5.5 und 6 (auch mit Windows XP SP2). Es beseitigt laut Microsoft acht Lecks, die das Ausführen beliebigen Codes von Remote-Standorten aus sowie das Ausspähen privater Daten durch "Adressleisten-Spoofing" ermöglichen. Dabei werden dem Anwender sichere Internet-Domains in der Adressleiste angezeigt, obwohl er sich auf unsicheren Seiten befindet.

Unter den als "hoch" bewerteten Lecks befinden sich zwei, die DoS-Attacken zulassen. Das Advisory MS04-029 beschreibt den Fehler in der RPC-Laufzeitbibliothek (Remote Procedure Call) in Windows NT Server 4.0 SP 6a auch Terminal Edition SP6). Es ersetzt die älteren Bulletins MS98-014, MS01-048, MS03-26, MS03-39 und MS04-12. Die Lücke findet sich außerdem im WebDAV-XML-Meldungshandler der Windows-Versionen 2000, XP und Server 2003 (MS04-030).

Ferner ist die Implementierung der NetDDE-Dienste (Network Dynamic Data Exchange) in den Windows-Versionen NT Server 4.0, 2000, XP und Server 2003 (auch 64 Bit) sowie von Windows 98 und ME fehlerhaft. In der Folge können Angreifer von Remote-Standorten aus auf betroffene Systeme zugreifen. Patches stehen mit dem Advisory MS04-031 zur Verfügung.

Microsoft hat zudem eine überarbeitete Version des im September veröffentlichten Security Bulletin MS04-028 herausgebracht. Es beseitigt einen Speicherüberlauf, der bei der Verarbeitung von JPG-Dateien entstehen kann und den unberechtigten Zugriff auf betroffene Systeme ermöglicht. Patches stehen für verschiedene Windows-Versionen sowie Anwendungen wie "Office 2003", "Visio 2003", "Picture IT!", "Greetings 2002", "Digital Image Pro" und "Project 2003" sowie das .NET Framework und "Visual Studio .NET" zur Verfügung. (lex)