Insgesamt vier Security Bulletins beschreiben Fehler im Internet Information Server, Word und Excel, Internet Explorer und Windows 2000/XP und liefern Bugfix-Pakete dafür. Anwender können die Updates einzeln über Links in den Bulletins bekommen oder automatisch über die Windows-Update-Funktion einspielen. Da die deutschen Bulletions zu einem späteren Zeitpunkt folgen werden, führen die Links zu den englischsprachigen Meldungen.

In Bulletin MS03-048 erläutert Microsoft einen neuen kumulativen Patch (KB824145) für den Internet Explorer. Das Update beseitigt insgesamt fünf Fehler, darunter auch einige, mit denen man das Sicherheitszonenmodell des Browsers austricksen kann, um Zugriff auf lokale Dateien zu erhalten. Des Weiteren wurde nun auch das Sicherheitsloch bei der Behandlung von XML-Daten gestopft, mit dem schon das Ansurfen einer Webseite ausreichte, um sich mit Trojanern und anderen Schädlingen zu infizieren. Der Demo-Exploit im c't-Browsercheck zum Testen der Lücke funktioniert nun nicht mehr auf aktualisierten Systemen. Der neue kumulative Patch aus Bulletin MS03-048 ersetzt den älteren kumulativen Patch aus MS03-040.

Das Update KB 828749, beschrieben in Bulletin MS03-049, beseitigt eine im Windows Workstation-Dienst (WKSSVC.DLL) entdeckte Lücke. Durch einen Buffer Overflow kann ein Angreifer über das Netzwerk beliebigen Code auf ein System einschleusen und ausführen. Der Windows Workstation Dienst wird über den RPC-Dienst auf den TCP-Port 135 und 445 angesprochen. Betroffen sind Windows 2000 bis einschließlich Service Pack 4 sowie XP bis einschließlich Service Pack 1. Ob das Update noch andere, bisher ungepatchte Sicherheitslücken im RPC-Dienst schließt, ist bislang unklar.

MS03-050 weist auf eine Sicherheitslücke in Word und Excel 97, 98, 2000 und 2002 hin. Bei manipulierten Excel-Dokumenten kann der Makro-Sicherheitscheck versagen, sodass beim Öffnen des Dokumentes ein enthaltenes Makro sofort mit den Rechten des Benutzers ausgeführt wird. Unter Word kann ein zu langer Makro-Name einen Buffer Overflow provozieren. Ein Angreifer kann mit einem manipulierten Word-Dokument Code auf den Stack schreiben und mit den Rechten des Anwenders starten. Unglücklicherweise lassen sich Office-Dokumente auch über den Internet Explorer öffnen. Dieser startet automatisch die von Office installierte Helper-Application. Der Besuch einer Webseite mit manipulierten Excel-Sheets oder Word-Dateien reicht dann aus, um sich beispielsweise mit einem Trojaner zu infizieren. Das Update KB 831527 schließt die Lücken.

Patch KB813360 beseitigt eine Schwachstelle in den FrontPage Server Extensions 2000 und 2002 des Internet Information Servers (IIS), die mit Windows 2000, XP und Office XP mitgeliefert werden. Laut Bulletin MS03-051 findet sich auch hier ein Buffer Overflow in den Remote-Debug-Funktionen der Extensions. Darüber hinaus ist der SmartHTML Interpreter für Denial-of-Service-Attacken anfällig. Bestimmte HTTP-Requests bringen den IIS für kurze Zeit zum Stillstand. (dab/c't)


http://www.heise.de/newsticker/data/dab-12.11.03-000/