Thema: Microsoft Patchday ...

[SiLæncer]

Am Januar-Patchday schließt Microsoft drei kritische Sicherheitslücken in seinen Betriebssystemen sowie in Outlook und Exchange, zwei davon sind neu. Neben dem vorab veröffentlichten Patch für die zwischen Weihnachten und Neujahr bekannt gewordene WMF-Schwachstelle beseitigt das Redmonder Unternehmen auch einen Fehler, der durch in Webseiten eingebettete präparierte Zeichensätze (Webfonts) zum Einschmuggeln und Ausführen von Schadcode missbraucht werden kann. Der dritte Softwareflicken soll verhindern, dass Outlook und Exchange beim Verarbeiten von manipulierten E-Mails im proprietären, von Microsoft entwickelten Transport Neutral Encapsulation Format (TNEF) patzen.

Der Patch zum Schließen der WMF-Lücke beseitigt die seit kurzem im Internet intensiv ausgenutzte Schwachstelle im GDI. Das 16 Jahre alte Grafikformat scheint aber noch weitere Probleme zu haben; Andreas Marx von AV-Test hat derer über zehn ausgemacht. Bisher gibt es jedoch keine Bestätigung, dass sich damit mehr als Programmabstürze herbeiführen ließen.

Im zweiten Security-Bulletin des Jahres warnt der Softwarekonzern, dass Angreifer über das Einbetten von manipulierten Webfonts in Webseiten oder in E-Mails die vollständige Kontrolle über das System übernehmen könnten. Laut zugehöriger eEye-Sicherheitsmeldung tritt bei der Verarbeitung defekter Webfonts ein Pufferüberlauf auf dem Heap der T2EMBED.DLL auf. Dazu muss ein Anwender diese Mails mit Outlook (Express) als HTML-Mails anzeigen beziehungsweise mit dem Internet Explorer auf den schadhaften Webseiten unterwegs sein. eEye hat diesen kritischen Fehler im Juli 2005 an Microsoft berichtet.

Betroffen von dem Fehler sind alle Windows-Version ab Windows 98 aufwärts. Da die Standardkonfiguration von Outlook Express unter Windows Server 2003 vorsieht, E-Mails nur als Text anzuzeigen, ist dort der E-Mail-Angriffsvektor beschnitten. Nutzer von Windows 98, 98 SE oder Millenium stehen vorerst im Regen. Da hier der Lebenszyklus der Produkte vorüber ist, liefert Microsoft Updates erst später. Anwender mit NT4 sind laut Security Bulletin angehalten, ihren Microsoft-Support zu kontaktieren, um kostenpflichtige Updates zu erhalten – oder auf neuere Windows-Betriebssysteme umzusteigen.

In Outlook ab Version 2000 sowie im Exchange-Server 5.0 und 5.5 merzt Microsoft einen Fehler beim Verarbeiten von E-Mails im proprietären Transport Neutral Encapsulation Format aus. Wer kein Outlook verwendet, kennt diese Mails vielleicht von den obskuren Dateianhängen namens Winmail.dat, die Formatierungsanweisungen für das Rich-Text-Format enthalten. Auch hier können überlange Datenfelder zu einem Pufferüberlauf führen, der sich ausnutzen lässt und zur Kompromittierung des Systems führen kann. Diese Lücke wurde von John Heasman und Mark Litchfield von NGS Software entdeckt und gemeldet.

Da alle gepatchten Lücken als kritisch eingestuft werden, ist ein zügiges Update anzuraten. Erste Exploits, die diese Lücken nutzen, werden erfahrungsgemäß in Kürze auftauchen. Wie Microsoft in den Security Bulletins als entschärfenden Faktor für die Fehler angibt, fällt der potenzielle Schaden geringer aus, wenn der Anwender mit eingeschränkten Benutzerrechten arbeitet. Vielleicht ist dies ein Ansporn für Nutzer, einen neuen Administrator-Account anzulegen und dem eigenen Konto diese Rechte zu entziehen.

Siehe dazu auch:

    * Microsoft Security Bulletin Summary für Januar 2006 von Microsoft
    * Sicherheitsanfälligkeit in Grafikwiedergabemodul kann Remotecodeausführung ermöglichen (912919) von Microsoft
    * Sicherheitsanfälligkeit bei eingebetteten Webschriftarten kann Remotecodeausführung ermöglichen (908519) von Microsoft
    * Windows Embedded Open Type (EOT) Font Heap Overflow Vulnerability von eEye Security
    * Sicherheitsanfälligkeit bei der TNEF-Decodierung in Microsoft Outlook und Microsoft Exchange kann Remotecodeausführung ermöglichen (902412) von Microsoft


Quelle und Links : http://www.heise.de/security/news/meldung/68196

[SiLæncer]

Für den Microsoft-Patchday am kommenden Dienstag kündigen die Redmonder insgesamt sieben Security Bulletins an, von denen vier die Windows-Betriebssysteme betreffen, eines den Windows Media Player, noch ein weiteres Windows und Office sowie eines nur das Microsoft Office. Die Updates für den Media Player stuft Microsoft als kritisch ein, ebenso mindestens eines der Windows-Updates – dies bedeutet üblicherweise, dass über die gestopfte Lücke eingeschleuster Code zur Ausführung kommen kann.

Welche Schwachstellen in den jeweiligen Produkten behoben werden, erläutert der Softwareriese wie üblich nicht in der Patchday-Ankündigung. Die Updates für Windows und für das Microsoft Office werden einen Neustart des Systems erfordern, ist der Ankündigung zu entnehmen.

Siehe dazu auch:

    * Microsoft Security Bulletin Advance Notification zum Februar-Patchday

Quelle und Links : http://www.heise.de/security/news/meldung/69432

[SiLæncer]

Wie angekündigt veröffentlichte Microsoft sieben Patches zum Februar-Patchday – zwei davon beheben als kritisch eingestufte Sicherheitslöcher.

Das Security-Bulletin MS06-004 behebt eine kritische WMF-Lücke unter Windows 2000 im Zusammenspiel mit dem Internet Explorer 5.01; sie hat aber nichts mit der WMF-Lücke zu tun, die Ende vergangenen Jahres entdeckt wurde. Das zweite kritische Sicherheitsleck betrifft den Windows Media Player ab Version 7 in den Betriebssystemen von Windows 2000 bis Windows Server 2003. Dieser patzt beim Verarbeiten von präparierten Bitmaps, was Angreifer über manipulierte Webseiten oder E-Mails ausnutzen könnten, um in das System einzudringen.

Nur als "Important", also wichtig, stuft das Redmonder Unternehmen einen Fehler im Windows-Media-Player-Plugin für nicht-Microsoft-Webbrowser ein. Durch eine fehlerhafte Verarbeitung von EMBED-Tags könnte ein Angreifer Code über Webseiten oder E-Mails einschmuggeln und zur Ausführung bringen.

Windows XP ab SP1 und Windows Server 2003 sowie deren 64-Bit-Pendants sind anfällig für einen Denial-of-Service durch präparierte IGMPv3-Pakete. Das Internet Group Management Protocol dient zur gezielten Bedienung von dynamisch erstellten Gruppen mit IP-Paketen im Multicast-Verfahren. Mit dem Security-Bulletin MS06-007 schließt Microsoft diesen wunden Punkt. Dieselben Betriebssysteme lassen sich ohne das Update MS06-008 über Web-Client-Anfragen Code unterschieben, wodurch Angreifer die vollständige Kontrolle über die Rechner erlangen können. Der Web-Client dient dazu, Dateien nach dem WebDAV-Standard im Internet zu bearbeiten und abzulegen.

Einen weiteren Fehler, durch den Benutzer ihre Berechtigungen erhöhen können, behebt Microsoft in Office 2003, Windows XP ab SP1 und Windows Server 2003. Der Eingabe-Editor für koreanische Schriftzeichen (Input Method Editor, IME) stellt in manchen Fällen Funktionen mit dem Kontext LocalSystem bloß. Die letzte gestopfte Lücke des heutigen Patchdays betrifft Microsofts Präsentationsprogramm Powerpoint 2000. Sie ermöglicht unbefugten Benutzern über das Netz den Zugriff auf Dateien im Ordner Temporary Internet Files, wenn ihnen die Dateinamen bekannt sind.

Es ist zu erwarten, dass nun nach der Veröffentlichung von Details zu den Lücken sehr bald Exploits im Netz auftauchen, die diese Schwachstellen ausnutzen. Daher sollten die Microsoft-Updates zügig eingespielt werden, beispielsweise durch manuelles Anstossen des Windows Update.

Siehe dazu auch:

    * Deutsche Übersicht zum Februar-Patchday von Microsoft
    * Microsoft Security Bulletin Summary for February 2006 Übersicht über die Patches am Februar-Patchday (engl.)
    * Cumulative Security Update for Internet Explorer (MS06-004)
    * Vulnerability in Windows Media Player Could Allow Remote Code Execution (MS06-005)
    * Vulnerability in Windows Media Player Plug-in with Non-Microsoft Internet Browsers Could Allow Remote Code Execution (MS06-006)
    * Vulnerability in TCP/IP Could Allow Denial of Service (MS06-007)
    * Vulnerability in Web Client Service Could Allow Remote Code Execution (MS06-008)
    * Vulnerability in the Korean Input Method Editor Could Allow Elevation of Privilege (MS06-009)
    * Vulnerability in PowerPoint 2000 Could Allow Information Disclosure (MS06-010)

Quelle und Links : http://www.heise.de/security/news/meldung/69613

[SiLæncer]

Das am vergangenen Patch-Dienstag eröffnete Rennen um lauffähige Exploits für die bekannt gegebenen Sicherheitslücken ist in vollem Gange. Die laufende Entwicklung, die sich auf den einschlägigen Sicherheits-Mailinglisten verfolgen lässt, brachte bislang funktionsfähige Exploits für die in den Microsoft-Bulletins MS06-005 und MS06-006 beschrieben Lücken im Windows Media Player hervor.

Zwei Exploits für die als kritisch eingestufte BMP-Lücke (MS06-005) erzeugen manipulierte Bitmap-Datein, die Angreifer in manipulierten Webseiten einbetten können. Bislang eignen sich diese lediglich für Denial-Of-Service-Angriffe. Ein Exploit für die EMBED-Lücke (MS06-006) legt bereits auf bestimmten Plattformen einen Administrator-Account an. Ein nicht ganz ausgereiftes Exploit-Modul von H. D. Moore für das Metasploit-Framework zielt ebenfalls auf die EMBED-Lücke. Es wartet auf eingehende HTTP-Verbindungen von potenziellen Opfern, die entsprechende Links in Webseiten untergeschoben bekommen, und sendet diesen beliebige Schadfunktionen.

Die EMBED-Lücke betrifft ausschließlich das Media-Player-Plug-in für Nicht-Microsoft-Browser, und Microsoft stufte diese lediglich als "important" ein. Doch die nun veröffentlichten Exploits legen die Vermutung nahe, dass in den kommenden Tagen auch verbesserte Versionen mit voll funktionsfähigen Schadroutinen für eine Vielzahl von Windows-Plattformen erscheinen werden. Benutzer eines ungepatchten Windows-Media-Players sollten umgehend die notwendigen Updates einspielen.

Siehe dazu auch:

    * Microsoft: Sieben auf einen Streich, Meldung zum Patchday auf heise Security

Quelle und Links : http://www.heise.de/security/news/meldung/69755

[SiLæncer]

Der nächste Microsoft-Patchday wird wohl wieder etwas ruhiger; lediglich zwei Patches stehen auf der heute veröffentlichten Vorabliste: Man plane, zum Patchday am nächsten Dienstag eine kritische Lücke in den MS-Office-Produkten zu schließen. Des Weiteren gebe es einen wichtigen Patch für Windows. Mehr Informationen geben die Redmonder wie üblich erst zum Erscheinen der Patches frei.

Ergänzend gibt es neben einer neuen Version des Malicious Software Removal Tools auch ein hochpriorisiertes Update für Microsoft Update (MU) und Windows Server Update Services (WSUS), das allerdings keinen Sicherheitsbezug habe.

Siehe dazu auch:

    * Microsoft Security Bulletin Advance Notification

Quelle : www.heise.de

[SiLæncer]

Zum heutigen Patchday hat Microsoft wie angekündigt jeweils einen Patch für MS-Office und für Windows veröffentlicht. Der Office-Patch schließt insgesamt sechs in Security-Bulletin MS06-012 beschriebene kritische Lücken in MS-Office 2000, XP und 2003 sowie der Works Suite, über die in manipulierten Office-Dokumenten eingebetteter Schadcode zur Ausführung gelangen kann. Ein Angreifer könnte dadurch sogar die vollständige Kontrolle über ein System erlangen, wenn er einen Nutzer mit Admin-Rechten dazu bringt, ein manipuliertes Dokument zu öffnen. Betroffen ist auch Microsoft Excel 2004 für Mac und Microsoft Excel X für Mac, hier stufen die Redmonder das Risiko allerdings nur als mittel ein.

Das Update für die im Security-Bulletin MS06-011 beschriebene Windows-Lücke betrifft Windows XP mit Service Pack 1 und Windows Server 2003. Wie aus der Fehlerbeschreibung hervorgeht, können Nutzer mit unprivilegiertem lokalen Zugang Änderungen an der Zugriffssteuerungsliste (Discretionary Access Control List - DACL) für Windows-Dienste vornehmen und sich so unter Umständen erweiterte Zugriffsrechte verschaffen. Laut Bulletin ließe sich die Lücke unter Windows Server 2003 durch Anwender der Gruppe "Network Configuration Operators" auch übers Netz ausnutzen, standardmäßig ist dieser Gruppe jedoch kein Benutzer zugewiesen.

Die März-Patches werden wie gewohnt durch den Windows-Update-Dienst eingespielt und sind über die Microsoft-Website abrufbar. Das kritische Office-Update legt nahe, die Patches möglichst bald zu installieren. Erfahrungsgemäß tauchen die ersten frei verfügbaren Exploits bereits wenige Tage nach Bekanntgabe der Details zu den Sicherheitslücken im Netz auf.

Siehe dazu auch:

    * Deutsche Übersicht zum Patchday März 2006 von Microsoft
    * Microsoft Security Bulletin Summary for March 2006, englische Fassung von Microsoft
    * ulnerabilities in Microsoft Office Could Allow Remote Code Execution von Microsoft
    * Permissive Windows Services DACLs Could Allow Elevation of Privilege von Microsoft

Quelle und Links : http://www.heise.de/newsticker/meldung/70841

[Jürgen]

Anwender des Internet Explorer 6 können aufatmen: Die seit 3 Wochen offene kritische createTextRange-Lücke im Browser wird durch eines der heute veröffentlichten Updates geschlossen. Wer sich das dazugehörige Security Bulletin MS06-013 anschaut, wird allerdings überrascht sein, denn die Redmonder schließen mit dem Update noch gleich neun weitere Sicherheitslücken. Sechs davon stuft Microsoft als kritisch ein, da Angreifer darüber PCs mit Schadcode infizieren können. Darunter fällt auch die bekannt gewordene HTA-Lücke, für die aber -- anders als bei der createTextRange-Lücke -- noch keine Exploits kursieren.
Gänzlich unbekannt waren bis dato zwei Fehler, die bei der Verarbeitung von HTML-Code und beim Parsen von HTML-Tags auftreten. Hier dürfte bereits der Besuch einer manipulierten Webseite ausreichen, um etwa einen Trojaner untergeschoben zu bekommen. Anwender sollten so bald wie möglich die Updates installieren, sofern sie nicht bereits über das automatische Update mit den Software-Pflastern versorgt werden.

Das kumulative IE-Update enthält neben den insgesamt zehn Sicherheits-Patches auch den Eola-Patch, der einen Patentstreit mit der gleichnamigen Firma beilegen soll, indem er eine Aktivierung von ActiveX-Komponenten einbaut. Es steht zu hoffen, dass niemand auf die Sicherheits-Updates verzichtet, um das alte Verhalten des Internet Explorer beizubehalten. Bei eventuellen Inkompatibilitäten räumt ein Patch gegen den Patch weitere zwei Monate Übergangsfrist ein.
-/-
(dab/c't) Der ganze Artikel mit Links

Quelle: www.heise.de

[spoke1]

Hatte ich übersehen, doppelt hält aber bekanntlich besser  

[SiLæncer]

Fehler bringt Windows Explorer aus dem Tritt

Einer der in diesem Monat veröffentlichten Sicherheits-Patches verursacht einen Fehler, der mit älteren Nvidia-Grafikkartentreibern oder älterer HP-Software auftreten kann. Der Fehler verhindert den Zugriff auf Verzeichnisse wie "Eigene Dateien" und kann sich auch negativ auf den Internet Explorer auswirken.

In einem Knowledge-Base-Artikel beschreibt Microsoft ein Problem, das nach der Einspielung des Sicherheits-Patches für Windows aus dem Security Bulletin MS06-015 auftreten kann. Grund dafür ist ein Fehlverhalten in der durch das Sicherheits-Update ausgetauschten Datei Verclsid.exe. Der Fehler kann durch eine ältere HP-Software auftreten, die HP verschiedenen Druckern, Scannern, Digitalkameras und CD-Laufwerken beigelegt hat. Wege zur Abhilfe erklärt der betreffende Knowledge-Base-Artikel von Microsoft.

Mit keiner Silbe erwähnt der Artikel Probleme mit älteren Nvidia-Grafikkartentreibern, die ein Sicherheits-Blog-Eintrag von Microsoft anspricht. In beiden Fällen soll die Einspielung aktualisierter Software und Treiber ausreichen, um den Fehler zu korrigieren. Nach Microsoft-Aussage betrifft das Problem nur eine Minderheit von Anwendern, wie Rückmeldungen seit der Veröffentlichung des Sicherheits-Patches ergeben hätten.

Durch den Fehler ist der Zugriff auf Verzeichnisse wie "Eigene Dateien" nicht mehr möglich. Die Office-Programme von Microsoft können etwa in diesem Verzeichnis keine Dokumente ablegen und manche Software bringt der Fehler zu einem Absturz, wenn auf "Eigene Dateien" zugegriffen wird.

Außerdem lassen sich Verzeichnisse in der Baum-Ansicht des Windows Explorer nicht öffnen, wenn das Plus-Zeichen angeklickt wird. Ohne Effekt bleiben auch die "Senden an"-Kommandos im Kontextmenü des Windows Explorer. Aber auch der Internet Explorer kann dadurch in Mitleidenschaft gezogen werden, so dass Eingaben in die Adresszeile des Browsers wirkungslos bleiben.

Der im April 2006 erschienene Patch schließt ein Sicherheitsloch im Windows Explorer, das bei der Verarbeitung von COM-Objekten auftritt, worüber Angreifer beliebigen Programmcode ausführen können.

Quelle : www.golem.de

[SiLæncer]

Überarbeiteter Sicherheits-Patch für Windows für 25. April 2006 geplant

Microsoft gab bekannt, am kommenden Dienstag eine neue Version des fehlerhaften Sicherheits-Patches für die Windows-Plattform zu veröffentlichen. Bis zum 25. April 2006 müssen sich Anwender noch mit Übergangslösungen behelfen, falls der betreffende Patch Probleme mit HP-Software oder Nvidia-Grafikkartentreibern macht.

Nach der Einspielung des Sicherheits-Patches für Windows aus dem Security Bulletin MS06-015 kann dieser Probleme verursachen. Grund dafür ist ein Fehlverhalten in der durch das Sicherheits-Update ausgetauschten Datei Verclsid.exe. Der Fehler kann unter anderem bei älterer HP-Software auftreten, die HP verschiedenen Druckern, Scannern, Digitalkameras und CD-Laufwerken beigelegt hat.

Wie Microsoft in einem aktuellen Blog-Eintrag abermals bestätigt, kann es auch zu Komplikationen im Zusammenspiel mit älteren Nvidia-Grafikkartentreibern kommen. In beiden Fällen soll es genügen, aktuelle Software von HP bzw. neuere Nvidia-Treiber zu installieren, um den Fehler zu korrigieren. Alternativ soll auch die Deinstallation des Sicherheits-Patches helfen. Das Problem betrifft nur eine Minderheit von Anwendern, betont Microsoft.

Durch den Fehler in dem Sicherheits-Patch ist der Zugriff auf Verzeichnisse wie "Eigene Dateien" nicht mehr möglich. Die Office-Programme von Microsoft können etwa in diesem Verzeichnis keine Dokumente ablegen und manche Software bringt der Fehler zu einem Absturz, wenn auf "Eigene Dateien" zugegriffen wird.

Außerdem lassen sich Verzeichnisse in der Baumansicht des Windows Explorer nicht öffnen, wenn das Plus-Zeichen angeklickt wird. Ohne Effekt bleiben auch die "Senden an"-Kommandos im Kontextmenü des Windows Explorer. Aber auch der Internet Explorer kann dadurch in Mitleidenschaft gezogen werden, so dass Eingaben in die Adresszeile des Browsers wirkungslos bleiben.

Der im April 2006 erschienene Patch schließt ein Sicherheitsloch im Windows Explorer, das bei der Verarbeitung von COM-Objekten auftritt, worüber Angreifer beliebigen Programmcode ausführen können. Am 25. April 2006 will Microsoft einen korrigierten Patch veröffentlichen, der dann fehlerlos arbeiten soll.

Quelle : www.golem.de

[SiLæncer]

Microsoft hat wie angekündigt ein Update veröffentlicht, das Probleme mit dem Patch zum Security Bulletin MS06-015 beseitigen soll. Das Sicherheitsupdate sollte Schwachstellen im Windows Explorer beseitigen, jedoch gab es nach der Installation auf Rechnern mit älteren Nvidia-Treibern, der Kerio-Firewall oder mit HP-Drucksoftware diverse Probleme.

Stephen Toulouse von Microsoft meint dazu, dass betroffene Anwender nichts unternehmen müssten, wenn das automatische Update aktiviert sei. Das Update, das im Wesentlichen als Ergänzung die schon vorgestellten Registry-Veränderungen enthalte, werde nur installiert, wenn Software auf dem Rechner installiert ist, mit der es Probleme gab.

Microsofts Patch zum Patch gibt Rätsel auf. Scheinbar löst er ein ganz anderes Problem.

Auf den betroffenen Rechnern meldet sich tatsächlich das automatische Windows-Update. Allerdings wird ein scheinbar zusammenhangloses Update angeboten. Der Patch mit der Knowledge-Base-Nummer 900485 wurde zuletzt am 20. Dezember 2005 aktualisiert und löst ein Problem, bei dem ein Windows-XP-Rechner mit der Fehlermeldung STOP 0x0000007e (parameter1, parameter2, parameter3, parameter4) aec.sys nicht mehr startet.

Bislang ist unklar, ob Microsoft versehentlich ein falsches Update ausliefert oder ob nur der angezeigte Text dazu falsch ist. Die Antwort auf eine Anfrage bei Microsoft steht noch aus.

Quelle und Links : http://www.heise.de/security/news/meldung/72380

[SiLæncer]

Update:

Laut Thomas Baumgärtner von Microsoft Deutschland wird der angekündigte Patch auf betroffenen Rechnern wie geplant ausgeliefert. Der zweite, nicht sicherheitskritische Patch, löst ein Timing-Problem in Windows XP, durch das das Betriebssystem möglicherweise nicht mehr startet.

Quelle : www.heise.de

[SiLæncer]

So richtig sauber haben die Microsoft-Techniker beim April-Patchday nicht gearbeitet. Nachdem zunächst bekannt wurde, dass einzelne Treiber nicht mit dem bereitgestellten Patch zur Behebung einer Schwachstelle im Windows Explorer harmonisieren, hat der weltgrößte Software-Konzern nun einen Fehler im für Outlook Express bereit gestellten kumulativen Patch eingeräumt.

Gleich mehrere Fehler

In der Microsoft Knowledge Base gibt Microsoft bekannt, dass das über das Security Bulletin MS06-016 zum Download zur Verfügung gestellte Sicherheits-Update plötzlich auftauchende Fehlermeldungen mit sich bringen kann. Es sei möglich, dass beim Start von Outlook Express oder des Windows-Adressbuches über Fehlermeldungen signalisiert wird, dass Outlook Express neu zu installieren oder das Adressbuch nicht richtig installiert worden sei. Vereinzelt sei es zudem möglich, dass bestimmte E-Mails zwar empfangen aber nicht mehr gesendet werden können.

Weiter heißt es, dass das Problem nur bei Adressbüchern auftrete, die in älteren Versionen von Outlook Express erstellt wurden. Neuere Versionen von Outlook Express arbeiten hingegen auch nach Installation des neuen Patches fehlerfrei.

Anleitung befolgen oder löschen

Im passenden Knowledge Base-Artikel gibt Microsoft betroffenen Kunden eine umfangreiche Anleitung, wie der Fehler behoben werden kann. Wer sich den technischen Anweisungen nicht gewachsen sieht, sollte den kumulativen Outlook Express-Patch einfach deinstallieren.

Quelle und Links : http://www.onlinekosten.de/news/artikel/20954

[SiLæncer]

Microsoft wird zum Patchday am 9. Mai insgesamt drei Security-Bulletins herausgeben. Zwei davon behandeln Lücken, die die Redmonder als kritisch einstufen.

Eines der kritischen Sicherheitslecks betrifft den Exchange Server. Das Update wird einen Neustart erfordern, außerdem nimmt Microsoft Änderungen an der Funktionalität des Servers vor. Exchange-Administratoren sollten daher vor dem Einspielen des Patches den Knowledgebase-Artikel lesen, der die Modifikationen erläutert.

Von den Updates zu den beiden Security-Bulletins für Windows beseitigt mindestens eines ebenfalls eine kritische Schwachstelle. Da Microsoft in der Patchday-Ankündigung wie üblich keine näheren Angaben zu den Lücken macht, bleibt unklar, ob das Riesenloch im Internet Explorer beim Verarbeiten verschachtelter Objekte gestopft wird.

Auch die Windows-Patches erfordern einen Rechner-Neustart. Microsoft kündigt weiterhin noch zwei nicht sicherheitsrelevante Patches an, die das Unternehmen kommenden Dienstag ausliefern wird.

Siehe dazu auch:

    * Security Bulletin Advance Notification, Patchday-Ankündigung von Microsoft
    * Knowledgebase-Artikel mit Details zu den Änderungen im Exchange-Server

Quelle und Links : http://www.heise.de/security/news/meldung/72735

[SiLæncer]

Wie angekündigt stellt Microsoft am heutigen Mai-Patchday drei Updates zu seinen Software-Produkten bereit. Zwei davon betreffen Windows: Etwas verspätet reichen die Redmonder einen Patch für zwei kritische Fehler im vorinstallierten Macromedia Flash Player von Windows XP (32 Bit), 98 und ME (beschrieben im Security-Bulletin MS06-020) nach. Der Hersteller Adobe hat die Lücken, durch die ein Angreifer mit Hilfe präparierter SWF-Dateien beliebigen Schadcode zur Ausführung bringen könnte, bereits im März dieses Jahres beziehungsweise im November vergangenen Jahres behoben. Es steht zu hoffen, dass die damals beobachteten Probleme bei der Arbeit mit eingeschränkten Nutzerrechten beim Microsoft-Patch nicht auftreten. Windows-Anwender, die bereits die Adobe-Patches eingespielt haben, sind von dem Problem nicht mehr betroffen.

Der zweite Windows-Patch schließt zwei Schwachstellen im Distributed Transaction Coordinator (MSDTC) von Windows XP, 2000 mit Service Pack 4 und Server 2003 (MS06-018). Sie ermöglichen es einem Angreifer, den MSDTC-Dienst mit manipulierten Netzwerkpaketen zum Absturz zu bringen, was sich auf weitere Netzwerkapplikationen auswirken kann. Microsoft stuft die Bedeutung der Lücken unter Windows 2000 als "mittel", auf den anderen Systemen lediglich als "gering" ein.

Eine Schwachstelle im Kalender von Exchange Server 2003 und Exchange Server 2000 (MS06-019) hingegen erachtet Microsoft als kritisch. Ein Angreifer könnte dadurch über E-Mails mit manipulierten vCal- oder iCal-Inhalten unter Umständen beliebigen Schadcode zur Ausführung bringen und die Kontrolle über betroffene Server übernehmen.

Die Mai-Updates sollten unbedingt eingespielt werden, wobei nur auf Exchange-Servern besondere Eile geboten sein dürfte. Ein aktivierter Update-Dienst beispielsweise von Windows XP mit aktuellem Service Pack 2 sollte die Patches im Laufe der Nacht beziehungsweise nach dem Einschalten am kommenden Morgen automatisch einspielen. Andernfalls ist ein Besuch auf Microsofts Update-Seite oder die manuelle Installation der einzelnen Updates wie in den Bulletins beschrieben notwendig.

Der ganze Artikel

Quelle : www.heise.de