Microsoft-Patchday: Vier Updates schließen sechs Lücken

Zum Mai-Patchday hat Microsoft wie angekündigt vier Sicherheitsmeldungen mitsamt Updates für sechs Schwachstellen veröffentlicht. Vier der Sicherheitslücken stufen die Redmonder als kritisch ein, weil Angreifer darüber Schadcode einschleusen können.
Die Sicherheitsmeldungen MS08-026 und MS08-027 behandeln zwei Sicherheitslücken in Word sowie eine im Publisher, die Angreifer mit speziell manipulierten Dokumenten ausnutzen könnten. In Word konnten die Sicherheitslücken durch manipulierte Dokumente im Rich-Text-Format (.rtf) und Word-Dokumente mit präparierten Cascading-Style-Sheets (CSS) zu Tage treten. Zum Ausnutzen der Lücke beim Verarbeiten defekter .rtf-Dokumente reicht beispielsweise schon die E-Mail-Voransicht in Outlook. Der Publisher konnte durch manipulierte Objekt-Header in Publisher-Dokumenten aus dem Tritt geraten und dabei untergeschobenen Programmcode ausführen. Betroffen sind davon Office 2000, XP, 2003, 2007, der Word-Viewer 2003, das Kompatibilitätspack für die Office-2007-Dateiformate sowie Office 2004 und 2008 für Mac.
Mit den Updates bauen die Redmonder auch zusätzliche Warnungen ein, die Word anzeigt, wenn ein Dokument SQL-Befehle absetzen will. Das hängt eng zusammen mit der Schwachstelle in der MS-Jet-Engine aufgrund einer fehlenden Überprüfung einer nicht näher genannten Datenstruktur, die das Update zu dem Fehlerbericht MS08-028 nachrüstet. Über die Jet-Engine greifen in der Windows-Welt viele Applikationen auf Datenbanken zu. Die Lücke betrifft alle Windows-Versionen vor Windows XP mit Service Pack 3 und Server 2003 Service Pack 2; Windows Vista und Server 2008 bringen bereits eine nicht anfällige Version der msjet40.dll mit.
Das Update zur Fehlermeldung MS08-029 dichtet zwei Denial-of-Service-Lücken in Microsofts Malware Protection Engine ab, die in Microsofts Sicherheitslösungen OneCare, Forefront, Antigen sowie dem Windows Defender steckt. Beide Lecks kommen durch fehlerhafte Überprüfungen beim Verarbeiten einiger Dateiformate zustande, durch die die Engine dann den kompletten Plattenplatz verbrauchen oder den Rechner lahmlegen und einen Neustart auslösen kann.

Wie an jedem Patchday liefert Microsoft auch ein aktualisiertes Malicious Software Removal Tool (MSRT) aus, das weit verbreitete Schädlinge erkennen und entfernen soll. Da drei der Updates kritische Sicherheitslücken abdichten, sollten Anwender und Administratoren sie rasch herunterladen und einspielen - am besten über den eingebauten, automatischen Update-Service von Windows.(Quelle:Heise.de)

Siehe dazu auch:

• Microsoft Security Bulletin Summary für Mai 2008, Übersicht der Sicherheitsmeldungen zum Mai-Patchday
• Vulnerabilities in Microsoft Word Could Allow Remote Code Execution (951207), Sicherheitsmeldung von Microsoft
• Vulnerability in Microsoft Publisher Could Allow Remote Code Execution (951208), Fehlerbericht von Microsoft
• Vulnerability in Microsoft Jet Database Engine Could Allow Remote Code Execution (950749), Fehlermeldung von Microsoft
• Vulnerabilities in Microsoft Malware Protection Engine Could Allow Denial of Service (952044), Sicherheitswarnung von Microsoft

SECURITY - April-Patchday bei Microsoft: fünf mal kritisch und drei mal wichtig

Gemäß Ankündigung hat Microsoft am heutigen Patchday acht Sicherheitsupdates herausgegeben. Fünf haben die Gesamteinstufung "kritisch" erhalten und beheben Schwachstellen, die Angreifer unter Umständen übers Netz zum Ausführen von beliebigem Schadcode mit Anwenderrechten nutzen können. Eines der drei wichtiges Updates behebt allerdings auch eine Lücke im Windows-Kernel, über die man vollständige administrative Kontrolle über ein verwundbares System erlangen kann.
Die Bulletins MS08-023 und MS08-024 behandeln Schwachstellen, die alle Versionen des Internet Explorers auf allen Windows-Versionen betreffen. Um sich Schadcode einzufangen, müssen Anwender mit ihm lediglich eine manipulierte Webseite ansurfen. Der in MS08-024 behandelte Programmierfehler im Data-Stream-Handling des IE hat durchweg die Einstufung "kritisch" erhalten. In MS08-023 behandeln die Redmonder gleich zwei IE-Probleme. Zum Einen kann es im ActiveX-Control hxvz.dll zu einer Speicherkorruption kommen, die sich zum Einschleusen von Schadcode eignet. Zum Anderen ist mit dem zugehörigen Update nun das Killbit für zwei verwundbare ActiveX-Controls von Yahoo gesetzt. Laut Bulletin geschah dies auf Wunsch von Yahoo hin.

Unter Windows 2000 und XP stuft Microsoft die beiden ActiveX-Probleme als kritisch ein, auf Server 2003, das dessen Anwender nur selten zum Surfen einsetzen dürften, lediglich als mittelschwer. Unter Vista und Windows Server 2008 haben die Schwachstellen die Einstufung "wichtig" beziehungsweise "niedrig" erhalten, vermutlich weil sie sich dort aufgrund der neuen Sicherheitsmechanismen schwieriger ausnutzen lassen.
Eine kritische Sicherheitslücke in VBScript 5.6 und JScript 5.6 (MS08-022) tritt ebenfalls beim Surfen mit dem IE zutage, allerdings nicht unter Vista und Server 2008. In MS08-021 sind zwei Lücken im Graphics Device Interface (GDI) beschrieben. Beim Anzeigen von präparierten EMF- oder WMF-Bilddateien kann es zu Pufferüberläufen kommen, die Angreifer zum Einschleusen von beliebigem Schadcode nutzen können. Die GDI-Fehler betreffen alle Windows-Versionen und haben ebenfalls mit Einstufung "kritisch" versehen. Um die in MS08-018 beschriebene kritische Schwachstelle in Microsoft Project 2000 Service Release 1, 2002 SP&nbps;1 und 2003 SP 2 auszunutzen, muss ein Angeifer seine Opfer dazu bringen, eine manipulierte Project-Datei zu öffnen.
Die drei Updates mit der Einstufung "wichtig" betreffen den Windows-Kernel (MS08-025), den Windows-DNS-Client (MS08-020) sowie Microsoft Office Visio (MS08-019). Der Kernel von allen Windows-Versionen filtert bestimmte Nutzerdaten nicht ausreichend, sodass Angreifer mit eingeschränktem Zugriff die vollständige administrative Kontrolle über ein verwundbares System übernehmen können. Der DNS-Client lässt sich bei der Namensauflösung falsche IP-Adressen unterschieben. Nicht betroffen sind laut Bulletin lediglich die Clients von Vista mit Service Pack 1 und Server 2008. Die Visio-Komponente der aktuellen Office-Pakete ist ebenfalls verwundbar. Wer unbedacht eine manipulierte Visio-Datei öffnet, fängt sich unter Umständen schädlichen Code ein. Lediglich der Visio-Viewer ist nicht von der Lücke betroffen.
Windows-Nutzer sollten nicht zögern und gemäß der Microsoft-Empfehlung die Updates umgehend einspielen, um die beschriebenen Sicherheitslücken zu schließen. Wer die Patches nicht vom automatischen Windows-Update einspielen lassen möchte, kann sie auch einzeln über die Update-Webseite von Microsoft beziehen.

Siehe dazu auch:

• Microsoft Security Bulletin Summary for April 2008
• MS08-018: Vulnerability in Microsoft Project Could Allow Remote Code Execution
• MS08-019: Vulnerabilities in Microsoft Visio Could Allow Remote Code Execution
• MS08-020: Vulnerability in DNS Client Could Allow Spoofing
• MS08-021: Vulnerabilities in GDI Could Allow Remote Code Execution
• MS08-022: Vulnerability in VBScript and JScript Scripting Engines Could Allow Remote Code Execution
• MS08-023: Security Update of ActiveX Kill Bits
• MS08-024: Cumulative Security Update for Internet Explorer
• MS08-025: Vulnerability in Windows Kernel Could Allow Elevation of Privilege

(Quelle:Heise.de)