bk99.de entertain the web since 1997

bk99.de
hß · SicherheitKuratiert

Nächster Patchday beseitigt kritische Lücken in Internet Explorer und Windows Server

Zusammenfassung

Microsoft kündigte für den Patchday am 9. August 2011 13 Bulletins an, die 22 Lücken schließen sollten. Darunter waren kritische Lücken in allen Versionen des Internet Explorer und in den meisten Ausgaben von Windows Server, beide aus der Ferne zur Codeausführung nutzbar. Weitere Updates betrafen Windows, Office 2003 bis 2010, .NET 3.5 und Visual Studio 2005.

Ideen

  • Ein fester monatlicher Patchtag macht Updates für Administratoren planbar.
  • Die Vorankündigung erlaubt, Wartungsfenster vorzubereiten.
  • Kritische Lücken betrafen sowohl Client- als auch Serversysteme.

Einsichten

  • Planbare Patchzyklen helfen Verteidigern, zeigen Angreifern aber auch, wann Lücken öffentlich werden.
  • Ein einziger Patchtag bündelt viele Risiken, die gemeinsam priorisiert werden müssen.

Fakten

  • Angekündigt waren 13 Bulletins für 22 Lücken.
  • Die kritischen Lücken erlaubten Codeausführung aus der Ferne.

Referenzen

Kritik

  • Als Vorankündigung enthält die Meldung keine Details zu Angriffswegen oder Workarounds.

Empfehlungen

  • Plane feste Wartungsfenster kurz nach den Patchtagen deiner wichtigsten Hersteller ein.
  • Priorisiere Updates für aus dem Netz erreichbare Server und für Browser.

Originalartikel lesen →

Im Webarchiv suchen

hß · 2007

Kritische Lücke in Norton Antivirus und Internet Security

Symantec meldete 2007 kritische Lücken in Norton AntiVirus 2006, Norton Internet Security und SystemWorks, über die eine präparierte Webseite einen Windows-PC übernehmen konnte. Ursache waren zwei ActiveX-Controls in NAVCOMUI.DLL mit fehlerhafter Verarbeitung bestimmter Objekte. Die Updates liefen bereits über LiveUpdate, die Enterprise-Produkte waren nicht betroffen.

hß · 2003

Kritische Sicherheitslücke in wu-ftpd-Server

Janusz Niewiadomski veröffentlichte 2003 auf Bugtraq einen Pufferüberlauf im FTP-Server wu-ftpd in den Versionen 2.5.0 bis 2.6.2. Die Funktion fb_realpath() verarbeitete Pfade über 4096 Byte fehlerhaft; ausnutzen konnte das, wer Schreibrechte hatte und Verzeichnisse anlegen durfte. Die großen Distributionen lieferten Updates, als Workaround half das Verbot neuer Verzeichnisse mit „upload … nodirs“.

hß · 2000

Sicherheitscheck für Microsofts Internet Information Server

Die tschechische Zeitschrift Svět Namodro stellte im August 2000 ein Webformular bereit, mit dem Administratoren Microsoft-IIS-Server auf bekannte Lücken prüfen konnten. Alle geprüften Mängel in IIS 4.0 und 5.0 waren bekannt und laut Microsoft mit dem Service Pack 1 für Windows 2000 behoben. Die Sicherheitsfirma iDefense warnte dennoch, Angreifer könnten das Werkzeug nutzen, um verwundbare Ziele vorzusortieren.