Das bereits bekannte Java-Problem des Internet Explorer, ein Fehler im Windows Color Management und einer bei der Font-Behandlung in Word stehen im Juli auf der Patch-Liste. Alle drei sind als kritisch eingestuft, lassen sich übers Netz ausnutzen und erlauben es einem Angreifer, die Rechte des angemeldeten Anwenders zu erlangen -- also standardmäßig die des Administratorkontos.
Den Fehler in Microsofts Java-Implementierung hat die österreichische Firma SEC Consult bereits Ende Juni veröffentlicht -- nachdem Microsofts Product Team ihn zunächst nicht nachvollziehen konnte. Wenige Tage darauf präsentierte das französische Security-Portal FrSIRT einen Demo-Exploit, der eine Hintertür auf dem System eines IE-Anwenders installierte, wenn dieser eine präparierte Web-Seite öffnete. Kurz darauf stellte Microsoft einen Patch bereit, der das Kill Bit auf die betroffene COM-Komponente javaprxy.dll setzte und so ihre Ausführung aus dem IE heraus verhinderte, der aber nicht über den Windows-Update-Mechanismus vertrieben wurde. Das holt Microsoft jetzt mit dem Security Bulletin MS05-037 nach. Der Fehler wird bereits aktiv ausgenutzt, Anwender sollten den Patch also schleunigst einspielen. Wer allerdings Microsofts Java-Implementierung verwendet, muss dabei auf eventuelle Probleme gefasst sein.
Der in MS05-036 beschriebene Fehler betrifft das Modul Microsoft Color Management. Es soll konsistente Farbtabellen für verschiedene Ausgabegeräte und Transformtionen zwischen Farbräumen -- beispielsweise RGB und CMYK -- ermöglichen. Bei der Behandlung von Tags des ICC-Profile-Formats kann ein Pufferüberlauf auftreten, der sich beispielsweise durch ein speziell präpariertes Bild hervorrufen und ausnutzen lässt.
MS05-035 befasst sich schließlich mit einem Fehler in der Font-Behandlung von Word, der sich durch manipulierte DOC-Dateien ausnutzen lässt. Betroffen ist Word aus Office 2000 und XP (2002) sowie die Word-Versionen aus Microsoft Works 2000 bis 2004. Word 2003 hingegen ist laut Microsoft immun.
Die Updates werden über den automatischen Windows-Update-Mechanimus und die Microsoft-Update-Seite verteilt. Betroffene Works-Nutzer verweist Microsoft allerdings auf die Office-Update-Seite, um die Patches einzuspielen.
Quelle und Links :
http://www.heise.de/newsticker/meldung/61630
