Sicherheitsluecke in Internet Explorer gefaehrdet Windows-Systeme

[Ottmar Freudenberger]

F'up2 micorosoft.public.de.security.heimanwender
(evtl. Antworten auf dieses Posting sollten in der o.g. Newsgroup
landen)

Es wurde einmal mehr eine Sicherheitslücke im Internet Explorer entdeckt
und veröffentlicht, welche das Ausführen beliebigen Schadcodes ermöglicht.
Dazu genügt bereits der Besuch einer entsprechend präparierten Web-Seite,
insofern ActiveScripting nicht deaktiviert ist.

Betroffen von dieser Lücke sind grundsätzlich *alle* Versionen des IE
auf *allen* Windows-Versionen. Unter Windows Vista und Server 2008 sowie
Windows Server 2003 lässt sich die Lücke im "Geschützten" bzw. "Einge-
schränkten Modus" des IE nicht bzw. schwerer ausnutzen.

Microsoft hat zwischenzeitlich ein Security Advisory veröffentlicht, das
auf diese Lücke sowie mögliche Workarounds hinweist, die bis zu Veröffent-
lichung eines Updates angewandt werden können/sollten, das diese Sicher-
heitslücke schließt:
http://www.microsoft.com/germany/technet/sicherheit/empfehlungen/961051.mspx
bzw. aktueller das englischsprachige Original
http://www.microsoft.com/technet/security/advisory/961051.mspx

Siehe auch http://patch-info.de/artikel/2008/12/10/596 speziell für
Windows XP und Windows 2000.

Auch wenn die Lücke derzeit anscheiend noch nicht intensiv ausgenutzt
wird, ist nach der Veröffentlichung der Details zu dieser Lücke davon
auszugehen, dass sich dies in näherer Zukunft ändern wird. Daher sollten
die entsprechenden Workarounds ergriffen werden bzw. über den zumindest
temporären Einsatz eines alternativen Browsers in Erwägung gezogen werden.

Bye,
Freudi

[Kai Schaetzl]

Out-of-band patch für Sicherheitsproblem KB 961051
http://iefaq.info/index.php?action=artikel&cat=3&id=131&artlang=de

Kai

[Ottmar Freudenberger]

F'up2 microsoft.public.de.security.heimanwender
(Evtl. Antworten auf dieses Posting gehen ausschließlich in die o.g.
Newsgroup)

Post by Kai Schaetzl
Out-of-band patch für Sicherheitsproblem KB 961051
http://iefaq.info/index.php?action=artikel&cat=3&id=131&artlang=de

Yup, bzw.
http://blogs.technet.com/msrc/archive/2008/12/16/advance-notification-for-december-2008-out-of-band-release.aspx
http://www.microsoft.com/technet/security/bulletin/ms08-dec.mspx
oder auch http://patch-info.de/artikel/2008/12/10/596

In anderen Worten, am heutigen Mittwoch, 17.12.2008, plant MS die
Veröffentlichung von Sicherheitsupdates für die jeweilige Internet
Explorer-Versionen, also außerhalb des üblichen Patchday-Rhythmusses
(zweiter Dienstag im Monat).

Das/die Update/s wird/werden gegen 19 Uhr MEZ über üblichen Verteilungs-
wege (Auto Update, Windows/Microsoft Update) zur Verfügung stehen.

Bye,
Freudi