Thema: Schwachstellen im Microsoft Internet Explorer

[SiLæncer]

Microsoft hat die kritische Schwachstelle im Internet Explorer, die bereits aktiv für Angriffe ausgenutzt wird, am gestrigen Freitagabend mit einem Notfall-Update geschlossen. Die Lücke befindet sich in den IE-Versionen 6 bis 9 und führt dazu, dass ein Angreifer das System beim Besuch einer speziell präparierten Webseite mit Schadcode infizieren kann. Die Schwachstelle ist seit vergangenem Montag bekannt, seit Dienstag kursiert ein passendes Metasploit-Modul.

Bei dieser Gelegenheit hat Microsoft auch noch vier weitere Lücken ähnlicher Art geschlossen, die dem Unternehmen nach eigenen Angaben vertraulich von Sicherheitsexperten gemeldet und noch nicht für Angriffe ausgenutzt wurden. Den CVE-Nummern zufolge wurden die vier Schwachstellen deutlich vor dem Bekanntwerden der Lücke vom Montag gemeldet.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Wie unterschiedlich Statistiken zur Browsersicherheit ausgewertet werden können, zeigt Security-Blogger Brian Krebs: Zählt man nur die Lücken, schneidet der Internet Explorer im Vergleich mit der Konkurrenz ganz gut ab. Betrachtet man jedoch nur diejenigen Angriffspunkte, die tatsächlich ausgenutzt werden, ist die Bilanz des Internet Explorer vergleichsweise schlecht.

Krebs rechnet vor: Googles Chrome vermeldete für 2011 ganze 275, Mozillas Firefox 97, der Internet Explorer sogar nur 45 Angriffspunkte. Der Internet Explorer glänzt hier. Wird die Statistik nach Zero-Day-Exploits ausgewertet, die tatsächlich von bösartigen Seiten ausgenutzt wurden, fällt der Internet Explorer weit zurück.

Für die Zeit von Anfang 2011 bis September 2012 hat Krebs 89 Tage gezählt, an denen Internet-Explorer-Nutzer aktiv ausgenutzten Sicherheitslücken ausgesetzt waren, für die Konkurrenten Google Chrome und Mozilla Firefox hingegen keinen einzigen. Krebs argumentiert: "Der wichtigste Maßstab, um einen richtigen Zero-Day zu bewerten, sind aktive Angriffe." Das, befindet Krebs, ist auch für die Nutzer der wichtigste Aspekt.

Krebs hält nichts von der um sich greifenden Relativierung von Sicherheitsproblemen von Browsern. Es gibt messbare Abstufungen von Sicherheit und diese könnten durchaus einen zumindest zeitweiligen Browserwechsel nahelegen.

Quelle : www.heise.de

[SiLæncer]

Der aktuelle Internet Explorer leidet an einer Sicherheitslücke. Und diese betrifft nicht nur die aktuelle Version, sondern alle Versionen von IE 6 bis IE 10. Die Informationen über diese Sicherheitslücke wurde auch schon vor Veröffentlichung im Netz an Microsoft gesendet, doch Microsoft hat bis jetzt nicht mitgeteilt, wann und ob man sich um die Sicherheitslücke kümmere. Konkret es ist möglich, sämtliche Mausbewegungen eines Benutzers zu protokollieren.

Dazu benötigt man keine speziell präparierte Seite, sondern der Code lässt sich auch durch externe Dienstleister in Form von Werbebannern und Co auf beliebigen Seiten einpflanzen. Die Finder der Lücke teilten mit, dass hier unter Umständen virtuelle Keyboards, die man ja nutzt, damit Keylogger nicht die Tastaturanschläge protokollieren, unnütz würden. Der Mauszeiger wird nicht nur getrackt, wenn er sich über dem Browserfenster bewegt, sondern auch außerhalb. Eine Demo befindet sich hier.

[SiLæncer]

Die Sicherheitsexperten von FireEye haben bei Analyse einer kompromittierten Webseite einen Exploit entdeckt, der eine bislang unbekannte Sicherheitslücke im Internet Explorer ausnutzt. Durch die Lücke kann ein Angreifer Schadcode ins System des IE-Nutzers einschleusen, wenn dieser eine speziell präparierte Webseite besucht. Anfällig sind alle IE-Versionen bis einschließlich Version 8. Höhere Versionen sind nach derzeitigem Kenntnisstand nicht betroffen.

Laut FireEye haben die Angreifer zunächsts mit Hilfe eines Flash-Applets Shellcode im Arbeitsspeicher verteilt (Heap Spraying). Über die Zero-Day-Lücke im IE gelang es schließlich, den Code auszuführen. Durch die Sicherheitslücke wurde eine DLL ins System eingeschleust, zu dessen Funktionen die Sicherheitsexperten bislang keine Angaben machten.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Vor ein paar Tagen wurde eine kritische Zero-Day-Lücke für ältere Versionen des Internet Explorer gefunden, nun hat Microsoft einen "Fix it"-Patch dazu veröffentlicht, der die Exploit-Möglichkeit schließen soll.

Microsoft hat im 'Security Response Center' in der Nacht auf heute einen Patch bereitgestellt, der die vor kurzem aufgetauchte Sicherheitslücke in den Versionen 6, 7 und 8 des Internet Explorers schließt. Das Unternehmen schreibt dazu, dass der 'Fix it' genannte Patch einfach und ohne Neustart angewendet werden kann.

Der ganze Artikel

Quelle : http://winfuture.de/

[SiLæncer]

Der Sicherheitsexperte Peter Vreugdenhil von der Firma Exodus Intelligence schreibt in einem Blog-Beitrag, die kürzlich von Microsoft veröffentlichte provisorische Korrektur eines Speicherfehlers im Internet Explorer ließe sich durch ein neues Verfahren umgehen. Betroffen sind die Browser-Versionen 6 bis 8.

Details zu dem neuen Angriff hat die Firma nicht veröffentlicht. Kasperskys Webdienst Threatpost zitiert einen Manager des Unternehmens: "Im Allgemeinen gibt es mehrere Wege, eine Sicherheitslücke auszunutzen. Der provisorische Fix hat nicht alle davon blockiert."

Der ganze Artikel

Quelle : www.heise.de

[ritschibie]

Microsoft will außer der Reihe ein Update herausgeben, das die kritische Lücke in den Internet Explorer-Versionen 6 bis 8 schließt. Es soll um 18 Uhr deutscher Zeit zur Verfügung stehen. Mit dem Update soll das provisorische Microsoft Fix-it-Tool abgelöst werden, das in der Kritik stand, nicht alle Wege zu blockieren, die den Exploit ausnutzbar machen.

Die Lücke wird von Cyber-Kriminellen bereits seit Ende vergangenen Jahres aktiv zur Verbreitung von Malware eingesetzt; sie eignet sich zum Einschleusen von Schadcode. An Microsofts Januar-Patchday, der vergangenen Dienstag stattgefunden hat, war noch kein Patch verfügbar.

Quelle: www.heise.de

[SiLæncer]

Wie heute Vormittag schon angekündigt haben die Entwickler aus Redmond gerade einen Patch für die Ende 2012 bekannt gewordene und als äußerst kritisch eingestufte 0-Day-Schwachstelle im Internet Explorer (IE) veröffentlicht.

Wirft man einen Blick auf das zugehörige Security-Bulletin MS13-008, so hat Microsoft dieses Update für den Internet Explorer in den Versionen 6, 7 und 8 unter verschiedenen Betriebssystemen zur Verfügung gestellt. Eine Installation des Updates wird allen Nutzern aus Sicherheitsgründen nahe gelegt.

Der ganze Artikel

Quelle : http://winfuture.de/

[SiLæncer]

Microsoft hat den Patch für die kritische Sicherheitslücke in den Internet Explorer-Versionen 6 bis 8 herausgegeben. Laut Microsoft wurde die Schwachstelle nur in wenigen Fällen ausgenutzt. Allerdings gibt es ein Metasploit-Modul, mit dem theoretisch jeder die Lücke ausnutzen kann.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Eine Schwachstelle im Internet Explorer 8 ermöglicht das Ausführen beliebigen Programmcodes, wenn der Benutzer eine entsprechend präparierte Webseite aufruft. Das hat Microsoft heute in seiner Sicherheitsempfehlung 2847140 bekannt gegeben. Die Versionen 6, 7, 9 und 10 seien nicht betroffen, darum wird ein Upgrade auf neuere Versionen empfohlen, so es das Betriebssystem zulässt (Mindestvoraussetzung: Windows Vista).

An einem Update für IE8, das die Schwachstelle schließt, wird bei Microsoft noch gearbeitet. Bis dieses bereit steht, sollten IE8-Nutzer die Sicherheitseinstellungen restriktiver gestalten:

    Die Sicherheitseinstellungen für die Zonen „Internet“ und „Intranet“ sollte man auf „hoch“ stellen. Das blockiert auf solchen Seiten ActiveX-Controls und ActiveScripting und beeinträchtigt die Funktionsfähigkeit vieler Seiten. Eventuell müssen externe Sites deswegen als vertrauenswürdig gekennzeichnet werden, um sie zu benutzen.
    Darüber hinaus empfiehlt Microsoft, den IE so einzustellen, dass er vor jedem Ausführen von ActiveScripting eine Warnmeldung ausgibt.

Quelle : www.heise.de

[SiLæncer]

Für die kritische Schwachstelle im Internet Explorer 8 kursiert ein passendes Metasploit-Modul, mit dessen Hilfe quasi jedermann die Lücke ausnutzen kann – das bedeutet im Umkehrschluss: Der Einsatz des IE8 ist derzeit hochgradig gefährlich. Das betrifft vor allem XP-Nutzer, da neuere IE-Versionen nur unter Windows Vista und aufwärts laufen.

Die Lücke basiert auf einem Use-After-Free-Fehler, also dem Zugriff auf einen bereits freigegebenen Speicherbereich. Anfangs wurde die Schwachstelle nur für sogenannte Waterhole-Attacken im Rahmen der "Deep Panda"-Kampange eingesetzt. Die Cyber-Kriminellen haben offenbar gezielt Webseiten attackiert, die von Personen aus dem US-Energiesektor aufgerufen werden.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Für die vor wenigen Tagen bekannt gewordene schwere Sicherheitslücke bei Microsofts Webbrowser Internet Explorer 8 steht jetzt ein Gegenmittel bereit.

Wie der Konzern in seinem Sicherheits-Blog mitteilte, ist für das Problem 2847140 ein Fix veröffentlicht worden. Dieser solle von Nutzern des Internet Explorer 8 möglichst schnell installiert werden. Ein Reboot des Systems sei anschließend nicht notwendig.

Der ganze Artikel

Quelle : http://winfuture.de/

[SiLæncer]

Microsoft untersucht momentan eine Sicherheitslücke in allen unterstützten Versionen des Internet Explorers, die es Angreifern erlaubt, beliebigen Schadcode mit den Rechten des IE-Nutzers auszuführen. Laut Microsoft wird die Lücke momentan ausgenutzt, um Internet Explorer 8 und 9 auf Windows XP und 7 anzugreifen. Diese Angriffe finden den Kenntnissen von Microsoft nach aber nur in sehr begrenztem Umfang und sehr gezielt statt. Im TechNet-Portal können Nutzer einen Fix-it-Hotpatch herunterladen, um die Lücke zu schließen. Einen vollen Patch will man am nächsten Patch-Day im Oktober nachliefern.

Der Angriff findet über eine Use-After-Free-Schwachstelle in der HTML-Engine des Browsers statt. Diese nutzt eine Microsoft-Office-DLL zur Darstellung von Hilfe-Seiten, welche ohne Unterstützung für Address Space Layout Randomization (ASLR) kompiliert wurde. Ohne ASLR befinden sich die Bibliotheksfunktionen bei jedem IE-Start an der selben Speicheradresse; der Code lässt sich also zum Erstellen eines Exploits etwa mit Return-Oriented-Programming (ROP) nutzen.

Laut Microsoft sind die Versionen von Internet Explorer auf Server-Betriebssystemen in ihrer Standard-Konfiguration nicht betroffen, da sie Webseiten im geschützten Modus des Browsers anzeigen. Das gilt auch für Outlook, Outlook Express und Live Mail. Allerdings kann ein Angreifer hier Schadcode ausführen, falls er einen Nutzer dazu bringen kann, auf Links zu einer präparierten Webseite zu klicken -- diese wird dann im IE geöffnet. Ein gelungener Angriff ermöglicht es, Code mit den selben Rechten wie der Nutzer des Internet Explorers auszuführen. Falls der Nutzer mit Administratorrechten surft, könnte der Angreifer den Zielrechner wahrscheinlich komplett kapern.

Microsoft arbeitet nach eigenen Angaben noch an einem umfassenden Patch für die Lücke. Ebenso wolle man akute Gefahren im Auge behalten und Schritte gegen Seiten, die Schadcode mit Hilfe der Lücke verteilten, unternehmen.

Quelle : www.heise.de

[SiLæncer]

Das Internet Storm Center (ISC) erhöht zum ersten Mal seit langem die Gefahrenstufe (Threat Level) für den Internet Explorer auf gelb : Die Sicherheitsexperten hätten Anzeichen dafür, dass die vorige Tage bekannt gewordene Sicherheitslücke schon seit August für Exploits genutzt werde und dass bald ein Metasploid-Modul erscheinen werde, mit dem jedermann die Lücke leicht ausnutzen könne.

Abhilfe schafft ein Fix-it-Hotpatch von Microsoft, den Nutzer des Internet Explorer sofort einspielen sollten. Microsoft will einen vollen Patch am nächsten Patch-Day im Oktober nachliefern.

Quelle : www.heise.de

[SiLæncer]

Internet-Explorer-Nutzer aufgepasst: Das Waffenarsenal des Angriffsframeworks Metasploit wurde um ein Modul ergänzt, das die kritische Zero-Day-Lücke im IE ausnutzen kann. Somit kann sich nun jedermann eine passende Exploit-Webseite zusammenbauen. Das Modul ie_setmousecapture_uaf entstand, nachdem ein Sicherheitsforscher den Angriffscode mit dem JavaScript-Deobfuscator jsunpack untersucht hatte, wodurch der Code in das öffentlich zugänglich Archiv des Dienstes aufgenommen wurde.

Der ganze Artikel

Quelle : www.heise.de