Microsoft hat eine neue Lücke im Internet Explorer (alle Versionen des Internet Explorer von 5.01 bis 8 auf allen noch unterstützten Windows-Plattformen) bestätigt und eine Warnung veröffentlicht. Die Lücke ermöglicht es einer präparierten Webseite, auf beliebige Dateien auf dem PC zuzugreifen und deren Inhalte auszulesen. Dazu muss der Angreifer nur den konkreten Pfad und den Dateinamen wissen, der bei den üblichen Standardinstallationspfaden meist bekannt ist.

Die Lücke lässt sich im Internet Explorer 7 & 8 unter Windows 7, Vista und Server 2003/2008 nicht ausnutzen, wenn im Webbrowser der geschützte Modus Protected Mode aktiviert ist, unter XP Home fehlt die versteckte administrative Freigabe C$.

Microsoft bietet ein Fix-it-Tool zum Download an, mit dem der IE das file-Protokoll nicht mehr unterstützt, in der Folge aber Probleme mit anderen Anwendungen auftreten können.

Mozilla hat zwei als experimentell gekennzeichnete Add-ons für den Browser Firefox aus seinem Downloadbereich entfernt, die gefährliche Schadsoftware enthielten. Die infizierten Add-ons wurden monatelang auf der offiziellen Download-Seite angeboten und zusammen rund 4600 Mal heruntergeladen.

Die Version 4.0 von Sothink Web Video Downloader war demnach mit dem Passwort-Sniffer Win32.LdPinch.gen infiziert, das Add-On Master Filer mit dem Backdoor-Trojaner Win32.Bifrose.

Hat die Schadsoftware nach Installation eines infizierten Add-Ons das Windowssystem befallen, genügt es nicht, das Add-on einfach wieder zu deinstallieren, um den PC zu säubern.

Aktuelle Microsoft Security Bulletins:

• MS10-003 - Hoch: Sicherheitsanfälligkeit in Microsoft Office (MSO) kann Remotecodeausführung ermöglichen (978214)

• MS10-004 - Hoch: Sicherheitsanfälligkeiten in Microsoft Office PowerPoint können Remotecodeausführung ermöglichen (975416)

• MS10-005 - Mittel: Sicherheitsanfälligkeit in Microsoft Paint kann Remotecodeausführung ermöglichen (978706)

• MS10-006 - Kritisch: Sicherheitsanfälligkeiten in SMB können Remotecodeausführung ermöglichen (978251)

• MS10-007 - Kritisch: Sicherheitsanfälligkeit in Windows Shell kann Remotecodeausführung ermöglichen (975713)

• MS10-008 - Kritisch: Kumulatives Sicherheitsupdate von ActiveX-Kill Bits (978262)

• MS10-009 - Kritisch: Sicherheitsanfälligkeiten in Windows TCP/IP können Remotecodeausführung ermöglichen (974145)

• MS10-010 - Hoch: Sicherheitsanfälligkeit in Windows Server 2008 Hyper-V kann Denial-of-Service ermöglichen (977894)

• MS10-011 - Hoch: Sicherheitsanfälligkeit im Windows Client/Server-Runtime-Subsystem kann Erhöhung von Berechtigungen ermöglichen (978037)

• MS10-012 - Hoch: Sicherheitsanfälligkeiten in SMB-Server können Remotecodeausführung ermöglichen (971468)

• MS10-013 - Kritisch: Sicherheitsanfälligkeit in Microsoft DirectShow kann Remotecodeausführung ermöglichen (977935)

• MS10-014 - Hoch: Sicherheitsanfälligkeit in Kerberos kann zu einem Denial-of-Service-Angriff führen (977290)

• MS10-015 - Hoch: Sicherheitsanfälligkeiten im Windows-Kernel können Erhöhung von Berechtigungen ermöglichen (977165)

Download via Microsoft oder die Updatefunktion des Betriebssystems.

• Nächste geplante Veröffentlichung von MS Sicherheitsupdates:
• 9. März 2010

Microsoft hat Meldungen bestätigt, wonach obiger Patch (Aktuelle Microsoft Security Bulletins: .... Update KB977165) zum Schließen einer Lücke in der Virtual DOS Machine nach Installation auf diversen Systemen unter XP zu Problemen beim Start führen kann (Bluescreen und Reboot).
Sicherheitshalber wird der Patch nicht mehr über die automatische Updatefunktion verteilt. Microsoft empfiehlt stattdessen obiges Fix-it-Tool (s. Kommentar 1) zum provisorischen Schließen der Lücke zu nutzen.

Adobe hat mit den Sicherheits-Updates 10.0.45.2 für Adobes Flash-Player und 1.5.3.1930 für AIR kritische Lücken in Flash behoben, durch die Flash-Applets bestimmte Sicherheitsfunktionen aushebeln können, um ohne Nachfrage auf andere Webseiten zuzugreifen.

Ein so präpariertes Flash könnte die in einem weiteren Browserfenster angezeigten Informationen einer anderen Seite auslesen, wie z.B. Bankdaten etc..

Ergänzung zu Kommentar 4:

Es haben sich Hinweise darauf ergeben, daß die Probleme mit dem Update KB977165 auf das Vorhandensein von Schadsoftware (Rootkits) auf den betroffenen Systemen zurückzuführen sind.

Siehe z.B. hier: http://www.symantec.com/connect/de/blogs/tidserv-and-ms10-015

mfg, Massaraksch

OpenOffice hat mit der OpenOffice- Version 3.2 mehrere Sicherheitslücken für dieBetriebssysteme von Windows, Mac OS X und Linux geschlossen.

Insgesamt wurden sieben Lücken beseitigt, von denen sich vier zum Einschleusen und Ausführen von Code nutzen ließen. Dazu musste ein Opfer nur präparierte Word-Dokumente, GIF-Bilder oder Bilder im XPM-Format öffnen.

Adobe hat außer der Reihe mit dem Sicherheits-Update 9.3.1 für den Adobe Reader und Acrobat Patches veröffentlicht, die zwei kritische Sicherheitslücken in ihren Produkten schließen. Durch einen Fehler bei der Verarbeitung von Cross-Domain-Requests konnten präparierte Flashinhalte die in einem weiteren Browser-Fenster angezeigten Informationen einer anderen Seite auslesen. Da der Adobe Reader JavaScript unterstützt konnte er ebenfalls auf Inhalte anderer Seiten zugreifen.

Update
Wie der Sicherheitsdienstleister Secunia meldet verteilt Adobe momentan (Stand 17.02.2010, 22Uhr) immer noch alte Versionen per manuellem Download. Die neuen Versionen bekommt man derzeit nur über den Update-Mechanismus.

Mozilla hat für den Browser Firefox die Versionen 3.0.18 und 3.5.8 vorgelegt, durch welche fünf Sicherheitslücken geschlossen wurden. Drei der Lücken stufen die Entwickler als kritisch ein, da durch präparierte Webseiten Angreifer die Kontrolle über einen PC erlangen können, zwei der geschlossenen Lücken ermöglichten Cross-Site-Scripting-Angriffe im Browser und damit entsprechend manipulierten Webseiten den Zugriff auf Inhalte im Browserfenster anderer Seiten.

In der seit Ende Januar vorliegenden Version 3.6 sind bereits alle dieser Lücken geschlossen.

Adobe hat eine Sicherheitslücke in seinem Download Manager geschlossen, durch welchen präparierte Webseiten beliebige Software auf einen Windows-Rechner installieren konnten. Die Lösung des Problems (erst Ende der vergangenen Woche bekannt geworden) hat damit nur eine Woche gedauert,

Google hat laut eigener Aussage eine Schwachstelle in Vorversionen mit der kürzlich veröffentlichten Version Picasa 3.6 build 105.41 geschlossen.
Der Sicherheitsdienstleister Secunia berichtete von einer Lücke in der Bildverwaltungs- und Bearbeitungssoftware Google Picasa, durch die ein Angreifer mit präparierten JPG-Bildern einen Integer Overflow provozieren und einen Windows PC kompromittieren könnte (betroffen sollen sein PicasaPhotoViewer 3.6.95.25, enthalten im Lieferumfang von Google Picasa 3.6 build 95.25, sowie frühere Versionen).