Internet Explorer Sicherheitslücke erlaubt ausführen von Schadcode

Durch speziell manipulierte Webseiten können Angreifer über den Internet Explorer Schadcode einschleusen und ausführen. Entdeckt wurde dies durch Aviv Raff.

Es wird eine Cross-Zone-Lücke ausgenutzt, durch diese Lücke kann Webseiten Code anstatt in der Internet-Zone in der lokalen Zonen ausführt werden. Die Benutzer müssen allerdings dazu beitragen das die Lücke genutzt werden kann.

Eine Beispiel Webseite demonstriert die Lücke in dem sie den Windows-Taschenrechner aufruft.

Sobald der Benutzer die Webseite, mit aktiviertem “Liste der Links ausdrucken”, ausdruckt wird der Taschenrechner gestartet. Dabei ist es irrelevant ob man die Ausführung von aktiven Inhalten zulässt oder nicht.

Der Fehler tritt in der aktuellen Internet Explorer Version 7 auf Windows XP mit SP2 auf.

Sobald ein Benutzer eine Webseite ausdrucken möchte, nutzt der Browser ein lokales Skript, welches eine neue HTML Datei erzeugt. Die neu erstellte Seite wird dann gedruckt.

Das HTML enthält eine Kopf- und Fußzeile sowie das Hauptelement. Zusätzlich kann eine Liste der Links erstellt werden.
Das Problem besteht darin dass das lokale Skript die URLs nicht überprüft, der URL-Code wird direkt übernommen.

Lokale Skripte vom Internet Explorer laufen meist in der Internet-Zone, das Skript zum ausdrucken allerdings in der lokalen Zone. Dies reißt die Sicherheitslücke auf und ermöglicht JavaScript mit beliebigen Code auf den Rechner des Benutzers einzuspielen.

Das Problem besteht auch bei der Beta vom Internet Explorer 8.

Unter Windows XP kann man belieben Code ausführen, unter Windows Vista mit aktivierter Benutzerkontensteuerung (UAC) ist nur das ausspähen von Informationen möglich.

Solange kein Patch von Microsoft bereitgestellt wird sollten Benutzer auf das ausdrucken mit aktiver Linkliste verzichten.

Diskussion zur Nachricht

Firefox Addon enthält Schadcode

In einem Addon für Firefox wurde ein Schädling entdeckt. Betroffen ist ein vietnamesisches Sprach-Pack.

Benutzer entdeckten den Schädling vor kurzem auf den offiziellen Addon Seiten von Firefox.

Wie viele Benutzer das Addon heruntergeladen haben ist nicht bekannt.

Das betroffene Addon enthält den Virus nicht direkt. Durch manipulierte HTML Dateien im Addon kann Schadhafter Code eingeschleust werden.

Die HTML Dateien beinhalten verschleierten Script-Code.

Der Code wird von vielen Virenscannern als HTML.Xorer erkannt.

Das Paket wurde seit November letzten Jahres 16.667Mal heruntergeladen. Insgesamt sind dies relativ wenige Downloads, somit ist davon auszugehen das nur wenige Anwender von dem Schädling betroffen sind.

Auf den offiziellen Seiten von Firefox können die Addons selbst hochgeladen werden. Diese Dateien werden beim Eingang auf Viren überprüft. Nur leider sind die Viren manchmal schneller als der Virenscanner.

Genau das war bei diesem Addon der Fall. Der Upload erfolgte im November, der Virenscanner erkannte aber erst im April den Virus.

Um diese Problematik zu umgehen ist geplant die Dateien einmal am Tag zu prüfen.

Die Addons für Firefox laufen mit den Benutzerrechten und können somit Webseiten manipulieren, das Surf-Verhalten aufzeichnen oder sogar Keylogger installieren.

Diskussion zur Nachricht

Photoshop kann schadhaften Code ausführen

In Adobe Photoshop CS3, After Effects CS 3 und der Photoshop Album Starter Edition wurden durch Scott Laurie Sicherheitslücken entdeckt die es erlauben schadhaften Code auszuführen.

Durch speziell präparierte BMP Bilder können Trojaner eingeschleust werden. Photoshop überprüft den Header der Datei nicht, dies kann zu einem Pufferüberlauf führen.

Updates die diese Lücke schließen gibt es noch nicht.

Besonders brisant ist diese Lücke da z.B. die Photoshop Album Starter Edition beim einstecken von z.B. USB-Sticks diese automatisch durchsucht. Schon alleine dadurch kann schadhafter Code eingeschleust werden. Dies funktioniert sogar wenn der Rechner gesperrt ist.

Adobe hat noch keine Updates bereit gestellt. Deshalb sollte man BMP Dateien derzeit nur mit Vorsicht genießen und nur im Notfall öffnen.

Diskussion zur Nachricht

Webseiten nutzen Lücke die mit dem Update MS08-021 geschlossen wurde

Vor kurzem hat Microsoft mehrere Updates bereitgestellt. Darunter das Update MS08-021 für den Internet Explorer.

Dieses Update behebt eine kritische Sicherheitslücke die es dem Angreifer ermöglicht schadhaften Code einzuschleusen.

Symantec, Hersteller von Antiviren- und Firewallprodukten, hat Webseiten entdeckt welche eine Lücke ausnutzen die mit dem Update MS08-021 geschlossen wurde.

Eine spezielle Bilddatei nutzt eine Lücke in der Grafikschnittstelle GDI. Dadurch lässt sich beliebiger Code auf den Rechner des Benutzers einschleusen.

Das Problem an dieser Lücke ist, sie kann beim normalen surfen oder E-Mail lesen ausgenutzt werden. Es reicht die spezielle Bilddatei aufzurufen.

Es ist also äußerst wichtig das Update einzuspielen. Betroffen sind derzeit Windows 2000, XP, Vista (SP1 ebenfalls.), Server 2003 und 2008.

Diskussion zur Nachricht

Microsoft Patchday April: fünf mal kritisch, drei mal wichtig

Wie von Microsoft angekündigt wurden gestern 8 Updates veröffentlicht. Darunter befinden sich 5 kritische Updates und 3 wichtige.

Die kritischen Updates schließen Lücken die es ermöglichten schadhaften Code auszuführen.

Ein wichtiges Update behebt einen Bug mit dem Windows Kernel. Der Bug erlaubte die volle Kontrolle über den Rechner zu erlangen.

Die Updates MS08-023 und MS08-024 beheben Schwachstellen vom Internet Explorer. Diese Schwachstellen erlaubten über präparierte Websites schadhaften Code auf dem Rechner einzuschleusen.

Ein anderes Update behebt ein Problem mit einem ActiveX Applet von Yahoo. Yahoo bat Microsoft um einen Bugfix für dieses Problem.

Die anderen Updates beheben weitere kleinere und größere Lücken und Probleme.

Diskussion zur Nachricht

Microsoft Patchday: 8 Sicherheits-Updates

Microsoft kündigt acht Sicherheits-Updates für den kommenden Patchday an. Unter den acht Updates sind 5 die kritische Sicherheitslücken beheben.

Diese Updates betreffen Project, Windows, VBScript und den Internet-Explorer 5, 6 und 7.

Alle 5 Lücken werden als kritische eingestuft da das einschleusen und aus ausführen von schadhaftem Code möglich gemacht wird.

Die drei anderen Updates betreffen Visio und Windows. Erstmals taucht der Windows Server 2008 mit gleich 2 kritischen Sicherheitslücken auf.

Diskussion zur Nachricht

Lücken in Symantec Produkten geschlossen

Symantec schließt 2 Sicherheitslücken in verschiedenen Privatanwender Produkten.

Laut dem Sicherheitsdienstleisters iDefense wird in dem Tool AutoFix von Symantec ein Buffer Overflow ermöglicht. Dieser erlaubt das einschleusen von Schadcode.

Das ActiveX-Control für AutoFix läuft allerdings nur auf den Symantec Seiten. Somit besteht ein gewisser Schutz.

Sollte der Angreifer allerdings noch Cross-Site-Scripting betreiben so wird die Lücke gefährlich.

Die zweite Lücke betrifft das nachladen von schadhaftem Code über eine Netzwerkfreigabe.

Betroffen sind Norton 360 1.0, Norton AntiVirus Windows 2006 - 2008, Norton Internet Security 2006 - 2008 und Norton System Works 2006 - 2008.

Eine aktuelle Fassung steht bei Symantec zum Download bereit. Zudem wird das Update eingespielt wenn eine Techniker Sitzung gestartet wird.

Diskussion zur Nachricht

Sicherheitslücke in Crysis

Es ist bekannt geworden das Crysis eine Sicherheitslücke hat.

Derzeit ist nicht bekannt ob schadhafter Code eingespielt werden kann. Die Vermutung liegt aber nahe.

Sollte ein Spieler auf einem Multiplayer Server seinen Namen in der Konsole wie folgt ändern

name %n\x00\x00\x00\x00

und danach den Befehl kill eingeben werden alle Spieler vom Server gekickt.

Der Kick äußert sich durch den Absturz des Spieles. Es ist nicht bekannt ob dadurch schadhafter Code eingespielt werden kann.

Derzeit wird empfohlen Crysis nur auf LAN Servern oder auf vertrauenswürden Servern zu spielen.

Crytek stellt noch keinen Patch zur Verfügung.

Diskussion zur Nachricht

Joomla 1.0.15 veröffentlicht; kritische Sicherheitslücke geschlossen

Gestern wurde eine neue Version von Joomla veröffentlicht. Die Neue Version hat die Versionsnummer 1.0.15.

Geschlossen wird eine kritische Sicherheitslücke die es erlaubte Remote Code auszuführen. Alle Joomla Versionen 1.0.xx sind betroffen!

Erstellt bitte ein Backup eurer Datenbank und der Website bevor Ihr das Update durchführt.

Bitte schaut nach ob eure configuration.php folgende Zeile enthält. Ab der Joomla Version 1.0.13 war dies standardmäßig der Fall.

if(!defined('RG_EMULATION')) { define( 'RG_EMULATION', 0 ); }

Fügt diese Zeile bitte in die Datei ein falls sie nicht vorhanden ist. Dieser Code schützt euch vor dem ausführen von Remote Code auf eurer Website.
Ihr müsst trotzdem noch den Patch installieren!

Die Patch- und Fullpakete findet ihr hier:
http://joomlacode.org/gf/project/joomla/frs/

Diskussion zur Nachricht