Mit dem Security Bulletin Summary für den Monat Juli beseitigt Microsoft sieben Sicherheitslücken in Windows, im Internet Information Server (IIS) 4.0 und in Outlook Express. Drei der Lecks stuft der Hersteller als "kritisch" ein, zwei als "hoch" und eines als "mittel".
Das Problem mit dem geringsten Risiko steckt in Outlook Express (Versionen 5.5 und 6.0). Die E-Mail-Software überprüft die Kopfzeilen eingehender Nachrichten fehlerhaft. Dadurch ist es möglich über manipulierte E-Mails DoS-Attacken (Denial of Service) auszuführen. Microsoft weist darauf hin, dass mit der Installation des verfügbaren Patches (MS04-018) auch die Standardeinstellungen für Outlook Express 5.5 SP2 (Service Pack 2) geändert werden. Das Update ersetzt den Patch des Bulletins MS04-013, das Microsoft im April herausgebracht hat, um die Code-Ausführung von Remote-Standorten zu unterbinden (Computerwoche.de berichtete).
An Benutzer von Windows 2000 richtet sich Microsoft mit dem Bulletin MS04-019. Es beschreibt ein Leck im Hilfsprogramm-Manager durch das sich Angreifer höhere Berechtigungen verschaffen können. Dadurch können sie die volle Kontrolle über betroffene Systeme erlangen. Anschließend lassen sich zum Beispiel Anwendungen installieren oder Daten manipulieren. Dieses "Privilege Elevation" genannte Problem behandelte der Hersteller bereits im Juli 2003 (Computerwoche.de berichtete). Das gleiche Problem tritt in Zusammenhang mit der "POSIX"-Komponente der Windows Versionen 98, ME, NT 4.0, 2000, XP und Server 2003 (auch 64-Bit-Varianten) auf (MS04-020). In beiden Fällen ist das Risiko als "hoch" eingestuft.
Allerdings lassen sich die Benutzerrechte nicht von entfernten Standorten ändern. Angreifer müssen lokalen Zugang zum System haben.
Ein mit dem Security Bulletin MS04-021 veröffentlichter Patch für den Internet Information Server (IIS) 4.0 beseitigt einen Buffer Overflow, über den Hacker von entfernten Standorten Schadroutinen ausführen können. Betroffen sind die Windows-Versionen NT Workstation und Server 4.0 (inklusive Service Pack 6a). Auch die im Bulletin MS04-022 beschriebene Sicherheitslücke ermöglicht es, beliebigen Code von Remote-Standorten auszuführen. Verantwortlich ist ein ungeprüfter Speicherbereich im Taskplaner aller Windows-Versionen ab 98. Wenn ein Anwender mit Administratorenrechten angemeldet ist, kann sich ein Angreifer von entfernten Standorten die volle Kontrolle über betroffene Systeme verschaffen, warnt Microsoft. So könnte er Anwendungen installieren, Daten einsehen und
löschen sowie neue Benutzerkonten mit beliebigen Rechten anlegen.
Kontrolle über Windows-PCs von Remote-Standorten aus lässt sich des Weiteren über die im Bulletin MS04-023 beschriebenen Lecks ausführen. Sie stecken in der HTML-Hilfe und in der "showHelp"-Funktion von Windows 98, 2000, XP und Server 2003 (auch 64-Bit-Versionen). Windows NT 4.0 ist nur betroffen, wenn der Internet Explorer 6.0 (inklusive Service Pack 1) installiert ist. Außerdem steckt ein Fehler in der Windows-"Shell". Er ermöglicht ebenfalls die Kontrolle von Windows-Rechnern von entfernten Standorten aus (MS04-024).
Um die in MS04021 bis 023 beschriebenen Lecks auszunutzen, muss ein Angreifer den Anwender auf eine manipulierte Website locken, etwa über eine HTML-Mail mit einem entsprechenden Link. Microsoft rät zum sofortigen Einspielen aller Bugfixes. (lex)