Microsoft stopft fünf Löcher

Es ist wieder soweit: Es ist Patch-Tag bei Microsoft. Diesmal sind es, wie angekündigt, fünf Fehler, die gestopft werden sollen. Die Lecks haben nicht die allerhöchste Sicherheitsstufe, sondern werden als ‘wichtig’ eingestuft.
Verschiedene Verwundbarkeiten betreffen in verschiedenen Versionen das Textverarbeitungsprogramm ‘Wordpad’. Darunter Windows XP mit Service Pack 2 (SP 2) und Windows Server 2003. Durch dieses Loch kann ein Angreifer die Kontrolle über das System erlangen. Der Fehler liegt in den Kommunikationsmodulen des Programms. Für einen erfolgreichen Angriff muss der User entweder auf eine manipulierte Seite gelockt werden oder ein Attachment einer E-Mail öffnen. Das Risiko ließe sich auch durch die Installation von Microsoft Word minimieren.

Ein anderer Fehler wird im ‘HyperTerminal’ behoben. In verschiedenen Versionen kann mit einem Buffer Overrun ebenfalls das System eines Opfers übernommen werden. Davon sind die Produkte NT 4.0, 2000, XP mit SP 1 und Windows Server betroffen. Das Opfer muss ebenfalls eine bösartige HyperTerminal-Datei öffnen. Auf Server 2003 sei das Risiko hingegen nur ‘moderat’, weil das Modul hier meist nicht aktiviert ist.

Fehler im ‘Dynamic Host Configuration Protocol’ (DHCP), die nur im NT Server 4.0 auftreten, erlauben eine Denial-of-Services-Attacke, indem er den Service deaktiviert. Durch einen zweiten Fehler kann beliebiger Code auf dem System ausgeführt werden.

Über die Netzwerkinfrastrukturkomponente WINS (Windows Internet Name Service) auf NT Server 4.0, Windows 2000 Server und Server 2003 kann sich ein Angreifer die Kontrolle über das System verschaffen, indem er ein bösartiges Netzwerk-Paket verschickt.

Der Fehler im ‘Local Security Authority Subsystem Service’ (LASS) können Rechte erweitert werden, so dass sich ein Angreifer, der bereits an einem System angemeldet ist, Zugang zu allen Rechten verschaffen kann. Anfällig sind NT Server 4.0, Windows 2000, XP und der Server 2003, wie Microsoft mitteilt. Nächster Patchday ist der 11. Januar.

Inzwischen häufen sich kritische Anmerkungen zu Microsofts neuer Praxis, die einzelnen Patches schon einige Tage vor der eigentlichen Veröffentlichung bekannt zu geben. Der silicon.de-Leser Nicolas Boudot, CIO von dem mittelständischen Unternehmen St. Bernhard Software schreibt dazu: “Mit dem Patch Day versucht Microsoft lediglich ein bröckelndes System zu stützen. Angesichts der Tatsache, dass Hacker neue Sicherheitslücken innerhalb von 15 Minuten entdecken können, erscheint eine fünf Tage alte Vorankündigung von Microsoft ein wenig überflüssig.”

Zudem sind manuelle System-Updates für ihn Zeitverschwendung und stellen zudem ein Sicherheitsrisiko dar. Eine Möglichkeit auf diese Risiken zu reagieren sei die Einführung eins automatisierten Patch-Managements.