Autor Thema: Microsoft Patchday ...  (Gelesen 35412 mal)

0 Mitglieder und 3 Gäste betrachten dieses Thema.

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube
Microsoft hat sechs Security Bulletins herausgegeben, die insgesamt 11 Sicherheitslücken beschreiben. Fünf davon stufen die Redmonder als kritisch ein. Die Updates zum Schließen der Lücken werden bereits über die automatische Aktualisierungsfunktion von Microsoft verteilt.

Allein im .NET-Framework wurden drei Fehler beseitigt (Security Bulletin MS07-040). Eine Schwachstelle im .NET PE Loader ermöglichte über einen Pufferüberlauf das Einschleusen und Ausführen von Code mit den Rechten des angemeldeten Benutzers. Dazu genügte laut Bulletin bereits der Besuch einer manipulierten Webseite. Gleiches galt für eine Lücke im Just-in-Time-Compiler des .NET-Frameworks (.NET JIT). Außerdem steckte noch in ASP .NET eine Schwachstelle, mit der es möglich war, Informationen auf einem Server auszuspähen. Für einen derartigen Angriff war nur der Aufruf einer bestimmten URL erforderlich. Betroffen sind die .NET-Versionen 1.0, 1.1 und 2.0. Version 3.0 von .NET enthält die Fehler nicht.

Ebenfalls mit drei Lücken, diesmal aber in Excel, befasst sich das Bulletin MS07-036. Über präparierte Dokumente konnte ein Angreifer seinen eigenen Code auf dem System eines Opfers ausführen. Die Fehler finden sich in Excel 2000, 2002, 2003, im Excel Viewer 2003 sowie in Microsoft Office Excel 2007. Allerdings ist nicht jeder der drei Fehler in allen Versionen enthalten. Zudem stuft der Hersteller die Probleme nicht in jeder Version als kritisch ein, obwohl auf diese Weise eine Infektion mit Trojanern möglich ist. Eine genaue Übersicht ist im Bulletin zu finden. Ein eigenes Bulletin (MS07-037) widmet Microsoft einer Lücke im Office Publisher 2007, über die ebenfalls Remote Code Execution möglich war. Beim Einlesen präparierter .pub-Dateien kam es zu einer Speicherverletzung.

Als kritisch stuft der Software-Konzern noch eine Lücke im Active-Directory-Server ein (MS07-039). Über LDAP-Requests mit einer manipulierten Anzahl von Attributen soll sich ein Server kompromittieren lassen. Zudem steckt noch eine DoS-Schwachstelle im Active-Directory-Server. Bestimmte LDAP-Anfragen führen dazu, dass das System nicht mehr antwortete.

Schließlich fand sich in den Internet Information Services 5.1 unter Windows XP SP2 noch ein Fehler (MS07-041), mit dem ein Angreifer über bestimmte URLs einen Buffer Overflow im URL-Parser provozieren kann. Darüber ist es möglich, Code in einen PC einzubringen und mit den Rechten des Webservers (Local System) zu starten.

Zuletzt beschreiben die Redmonder noch ein Problem in Vista mit dem IPv6-Tunnel-Protokoll Teredo (MS07-038), über das es möglich ist, Firewall-Regeln zu umgehen und eventuell mit geschützten Rechnern zu kommunizieren. Das Problem wurde bereits im April von Jim Hoagland von Symantec in einer Analyse von Vista beschrieben.

Offen bleibt weiterhin die Lücke in einem ActiveX-Control von Office 2003. Wie jeden Monat liefert Microsoft auch ein aktualisiertes Malicious Software Removal Tool (MSRT) aus, das den Rechner von bekannten und verbreiteten Schädlingen befreien soll.

Siehe dazu auch:

    * Security Bulletin Summary für Juli 2007, Übersicht von Microsoft
    * Sicherheitsanfälligkeiten in Microsoft Excel können Remotecodeausführung ermöglichen (936542), Security Bulletin MS07-036
    * Sicherheitsanfälligkeit in Microsoft Office Publisher 2007 kann Remotecodeausführung ermöglichen (936548), Security Bulletin MS07-037
    * Sicherheitsanfälligkeit in der Windows Vista Firewall kann Offenlegung von Informationen ermöglichen (935807), Security Bulletin MS07-038
    * Sicherheitsanfälligkeit in Windows Active Directory kann Remotecodeausführung ermöglichen (926122), Security Bulletin MS07-039
    * Sicherheitsanfälligkeiten in .NET Framework können Remotecodeausführung ermöglichen (931212) , Security Bulletin MS07-040
    * Sicherheitsanfälligkeit in Microsoft Internet Information Services kann Remotecodeausführung ermöglichen (939373), Security Bulletin MS07-041

Quelle und Links : http://www.heise.de/security/news/meldung/92507

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube
Microsofts .NET-Update macht Probleme
« Antwort #76 am: 13 Juli, 2007, 11:33 »
Berichten zufolge kann Microsofts Patch für die Lücken in .NET einigen Ärger verursachen. So sind während der Installation des Updates unter Umständen bis zu drei Reboots nötig, wenn .NET 1.1 und .NET 2.0 installiert sind, um alle Lücken zu schließen. In wenigen Fällen meckert das Update beim Versuch sich zu installieren, dass gar kein .NET installiert sei. Zudem kann die Installation des Updates dazu führen, dass das System nicht mehr in den Ruhezustand wechseln kann, weil der Update-Dienste für .NET 1.1 es daran hindert. Abhilfe schafft es, den Dienst einfach zu beenden respektive zu deaktivieren.


Darüberhinaus berichtet auch das Internet Storm Center von unspezifischen Problemen einiger Leser mit dem Update, ohne aber darauf einzugehen, ob damit Instabilitäten des Systems oder die Disfunktion von Anwendungen gemeint ist.

Microsoft hat zudem fünf der Juli-Security-Bulletins aktualisiert. Das Bulletin MS-07-036 trägt nun Versionsnummer 2.0, da man in Version 1.0 vergessen hatte, Office 2004 für Mac als betroffene Version zu erwähnen. Die anderen vier wurden ein wenig überarbeitet. So stimmte etwa in MS07-038 die Befehlszeile im Workaround nicht, MS07-039 erklärt in der FAQ, warum das Update an alle Windows-2000- und Server-2003-Systeme verteilt wurde. Für Verwirrung sorgte die ursprüngliche Fassung von MS07-040, in der .NET 3.0 als nicht betroffen gekennzeichnet war. Anwender dieser Version bekamen aber trotzdem den Patch über das automatische Update angeboten. Der Grund dafür ist, dass .NET 2.0 in .NET 3.0 enthalten ist. Die Überarbeitung klärt dies in der FAQ nun auf. Zuletzt hat Microsoft in MS07-041 noch einige Details ergänzt, unter welchen Umständen die Lücke auftritt.

Quelle : www.heise.de

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )

Gofler

  • Gast
Re: Microsoft will am Patchday sechs Lücken schließen
« Antwort #77 am: 13 Juli, 2007, 16:35 »

Hallo,

ich bekomme die Updates gar nicht installiert,
obwohl ich schon "alles" versucht habe.

MfG 

Gofler

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )

Gofler

  • Gast
Re: Microsoft will am Patchday sechs Lücken schließen
« Antwort #79 am: 14 Juli, 2007, 22:43 »

Hallo,

ich habe den Fehler gefunden. Es läuft wieder. Microsoft NET .Framework 1.1 bis 3.0 und
die Language Packs waren zwar unter "SYSTEMSTEUERUNG / SOFTWARE" aufgeführt, aber
sie waren nicht richtig installiert. Eine Neuinstallation wirkte Wunder.

MfG 

Gofler

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube
Microsoft will am Patchday neun Updates veröffentlichen
« Antwort #80 am: 10 August, 2007, 10:06 »
Microsoft will am Patchday Dienstag kommender Woche neun Updates herausgeben, sechs davon schließen kritische Sicherheitslücken. Fehler finden sich in allen Windows-Betriebssystemen, dem Internet Explorer, den Office-Paketen, Visual Basic, Windows Media Player, Microsofts Virtual PC und im Virtual Server. Durch acht der Schwachstellen können Angreifer eingeschleusten Schadcode ausführen. Im Virtual PC 2004 und Virtual Server 2005 können Angreifer ihre Rechte im System ausweiten.

In den Windows-Versionen 2000, XP SP2, XP-64-Bit, Server 2003 SP1, Server 2003 64-Bit und Server 2003 SP1 für Itanium-Systeme wollen die Redmonder mit einem Patch nicht näher erläuterte kritische Fehler beheben. Weitere kritische Schwachstellen behebt Microsoft im Internet Explorer. Eine der Lücken darin ist sogar in allen IE-Versionen von 5 bis 7 unter allen unterstützten Betriebssystemen von Windows 2000 bis Vista als kritisch eingestuft. Eine weitere Sicherheitslücke betrifft die XML-Kerndienste in den Version 3, 4 und 6, deren Bedeutung Microsoft unter Windows 2000, XP und XP-64-Bit, Vista sowie Vista-64-Bit für kritisch hält, unter Windows Server 2003 hingegen nur für hoch. Die XML-Kerndienste 5 reißen in Office 2003, 2007, Office Groove Server 2007 und im Sharepoint Server kritische Lecks auf.

Ein Update schließt eine kritische Sicherheitslücke in Office 2000, die die Redmonder in Office XP und 2003 sowie im Excelviewer 2003 nur als hoch einschätzen. Visual Basic 6 enthält unter Windows 2000 und XP einschließlich der 64-Bit-Variante eine als kritisch eingestufte Schwachstelle, unter Windows Server 2003 bewertet Microsoft das Risiko als Mittel. Vista ist davon offenbar nicht betroffen. Eines der Updates soll jedoch eine von dem Softwarekonzern lediglich als hoch eingestufte Lücke schließen, die ausschließlich Vista und das 64-bittige Vista betrifft. Ebenfalls die Gefahrenstufe hoch erhält ein Fehler im Windows Media Player 7.1, 9, 10 und 11.

Auch wenn Microsoft inzwischen in den Vorankündigungen zum Patchday einige Details zu betroffenen Produkten und Betriebssystemen macht, lässt sich nur schwer erkennen, welche bereits bekannten Sicherheitslücken von den Updates geschlossen werden. Wahrscheinlich bleibt aber die Mitte Juni bekannt gewordene Lücke durch ein verwundbares ActiveX-Modul aus Office 2003 weiterhin offen.

Quelle : www.heise.de

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube
Microsoft-Patchday: 15 Sicherheitslücken weniger
« Antwort #81 am: 15 August, 2007, 00:00 »
Microsoft hat wie angekündigt am August-Patchday neun Sicherheitsupdates herausgegeben, die 15 Sicherheitslücken in den Produkten des Herstellers schließen. Sechs der Security Bulletins behandeln dabei zehn als kritisch eingestufte Sicherheitslücken.

Im Internet Explorer 5, 6 und 7 unter allen Betriebssystemen von Windows 2000 bis Windows Vista kann ein Pufferüberlauf in der Bibliothek vgx.dll zum Verarbeiten der Vector Markup Language (VML) auftreten. Angreifer können die kritische Lücke mit manipulierten Webseiten ausnutzen, um Schadcode einzuschleusen. Das Update zur Sicherheitsmeldung MS07-050 behebt den Fehler.

Darüber hinaus schließt ein kumulatives Update für den Internet Explorer (MS07-045) drei weitere Sicherheitslücken. Zwei davon betreffen wie so oft eigentlich nicht für den Browsereinsatz gedachte COM-Objekte sowie ein ActiveX-Modul, das den Systemstatus so durcheinander bringen kann, dass eingeschleuster Code zur Ausführung kommt. Die Lücken sind im IE 5 und 6 unter Windows 2000 sowie unter Windows XP kritisch eingestuft. Unter Windows Server 2003 schätzen die Redmonder sie als mittel ein, weil AcitiveX per Default deaktiviert ist. Im IE7 unter Windows XP und Vista stuft Microft die Gefahr als hoch ein, hier bekommt der Anwender zumindest eine Warnung, bevor er auf das Steuerelement zugreifen kann. Die Redmonder lösen das Problem, indem das Update das Killbit der betroffenen Visual-Basic-Komponenten tblinf32.dll beziehungsweise vstlbinf.dll und pdwizard.ocx setzt. Außerdem behebt das Update eine Lücke bei der Verarbeitung präparierter Cascading Style Sheets (CSS), die die Speicherverwaltung im Internet Explorer 5 unter Windows 2000 so stören können, dass ebenfalls Schadcode zur Ausführung kommen kann.

Unter allen Betriebssystemen können Angreifer eine Schwachstelle in den XML Core Services 3, 4 und 6 sowie in den XML Core Services 5 unter Office 2003, 2007, dem Office Sharepoint Server und dem Office Groove Server 2007 missbrauchen, um die vollständige Kontrolle über das System zu übernehmen (MS07-042). Durch präparierte Skript-Anfragen können etwa Webseiten im Internet Explorer oder HTML-Emails die Speicherverwaltung durcheinander bringen und dadurch fremden Code ausführen. Die Lücke ist unter allen Betriebssystemen außer Windows Server 2003 kritisch.

In der Grafikschnittstelle GDI können erneut nicht näher erläuterte, präparierte Bilddateien zur Ausführung von eingeschleustem Code führen. Angreifer könnten solche Bilder etwa als E-Mail-Anhang verschicken. Die Lücke, die das Security Bulletin MS07-046 beschreibt, betrifft Windows 2000, XP sowie Windows Server 2003; Vista-Systeme sind nicht anfällig.

Ein weiteres Update behebt Fehler bei der Verarbeitung manipulierter Excel-Dateien (MS07-044), die den Speicher durcheinander bringen und dadurch fremden Code einschleusen können. Unter Office 2000 handelt es sich um eine kritische Lücke, das Gefahrenpotenzial unter Office XP, 2003, dem Excel Viewer 2003 und Office 2004 für den Mac stuft Microsoft als hoch ein. Die Sicherheitsmeldung MS07-043 behandelt eine kritische Lücke bei der Verarbeitung von OLE-Datenströmen in Windows 2000, Windows XP, Office 2004 für den Mac und Visual Basic 6, die bösartigen Individuen das Ausführen von eingeschleustem Code erlaubt. Vista ist von der Schwachstelle nicht betroffen.

Lediglich mit der Gefahrenstufe hoch stuft Microsoft zwei Lücken in allen Windows-Media-Player-Versionen unter allen unterstützten Betriebssystemen ein. Die Schwachstellen treten bei der Verarbeitung beziehungsweise Dekompression von präparierten Skins zu Tage; das Update zum Security Bulletin MS07-047 behebt die Fehler. Das Bulletin MS07-048 beschreibt ebenfalls mit dem Gefahrenpotenzial hoch eingestufte Sicherheitslecks in den Vista-Gadgets zum Anzeigen von RSS-Feeds, zur Kontaktverwaltung sowie zur Wetteranzeige, die keine ausreichende Prüfung der zu verarbeitenden Daten vornehmen und dadurch anfällig für das Einschmuggeln von beliebigem Programmcode sind.

In Microsofts Virtual PC 2004, 2004 SP1, Virtual PC für den Mac 6.1 und 7 sowie im Virtual Server 2005 und 2005 R2 können Nutzer mit Administratorrechten im Gastbetriebssystem aus der virtuellen Maschine ausbrechen und fremden Code im Hostsystem oder in anderen Gastsystemen ausführen. Security Bulletin MS07-049 erläutert, dass die Fehler auf einen Pufferüberlauf auf dem Heap aufgrund fehlerhafter Initialisierung und Interaktion mit Komponenten in Virtual PC zurückzuführen sind, die mit dem Hostsystem kommunizieren.

Wie jeden Monat verteilt Microsoft auch ein aktualisiertes Malicous Software Removal Tool (MSRT), das einige der weit verbreiteten Schädlinge erkennt und befallene Systeme davon befreien kann. Die Redmonder haben am August-Patchday zahlreiche bislang unbekannte Sicherheitslecks abgedichtet, aber die seit nunmehr zwei Monaten bekannte Sicherheitslücke im ActiveX-Modul Office Data Source Control 11 aus Microsofts Office 2003 steht weiter offen.

Da häufig kurz nach den Patchdays erste Exploits für die geschlossenen Schwachstellen auftauchen, sollten Nutzer die Updates zügig einspielen.

Siehe dazu auch:

    * Microsoft Security Bulletin Summary für August 2007, Übersicht der Updates von Microsoft
    * Sicherheitsanfälligkeit in Microsoft XML Core Services kann Remotecodeausführung ermöglichen (936227)
    * Sicherheitsanfälligkeit in OLE-Automatisierung kann Remotecodeausführung ermöglichen (921503)
    * Sicherheitsanfälligkeit in Microsoft Excel kann Remotecodeausführung ermöglichen (940965)
    * Kumulatives Sicherheitsupdate für Internet Explorer (937143)
    * Sicherheitsanfälligkeit in GDI kann Remotecodeausführung ermöglichen (938829)
    * Sicherheitsanfälligkeit in Windows Media Player kann Remotecodeausführung ermöglichen (936782)
    * Sicherheitsanfälligkeiten in Windows-Minianwendung können Remotecodeausführung ermöglichen (938123)
    * Sicherheitsanfälligkeit in Virtual PC und Virtual Server kann Erhöhung von Berechtigungen ermöglichen (937986)
    * Sicherheitsanfälligkeit in VML (Vector Markup Language) kann Remotecodeausführung ermöglichen (938127)

Quelle und Links : http://www.heise.de/security/news/meldung/94366

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube
Fünf Updates am Microsoft-Patchday geplant
« Antwort #82 am: 07 September, 2007, 09:37 »
Microsoft plant, am September-Patchday am Dienstag nächster Woche fünf Patches zu veröffentlichen. Damit will das Unternehmen mindestens eine kritische und vier mit dem Gefahrenpotenzial hoch eingestufte Sicherheitslücken in seinen Betriebssystemen, Entwicklungswerkzeugen, im Messenger und den Windows Services for Unix schließen.

Die kritische Sicherheitslücke betrifft Windows 2000 mit Service Pack 4. Angreifer können durch sie fremden Code einschleusen und ausführen, nähere Details nennt Microsoft vorab wie üblich noch nicht. In den Entwicklungsumgebungen Visual Studio .Net 2002 ab Service Pack 1 bis einschließlich Version 2005 Service Pack 1 und im MSN Messenger 6.2 bis 7.5 sowie im Windows Live Messenger 8.0 können Angreifer ebenfalls Schadcode einschleusen, das Risiko bewerten die Redmonder aber lediglich als hoch – offenbar liegt zwischen dem Einschmuggeln und der Ausführung des Schadcodes noch ein Mausklick vom Anwender.

In den Microsoft Services for Unix beziehungsweise den Subsystemen für UNIX-basierte Anwendungen können Angreifer unter allen unterstützten Betriebssystemen außer dem 64-bittigen Windows XP ihre Rechte im System ausweiten. Eine ebensolche Lücke findet sich in den SharePoint Services 3.0 unter allen Varianten von Windows Server 2003.

Die Beschreibungen der geplanten Updates lassen vermuten, dass die bislang unbestätigten Schwachstellen bei der Verarbeitung manipulierter Videodatenströme von Webcam-Sitzungen im MSN-Messenger tatsächlich vorhanden sind und sogar den Windows Live Messenger betreffen. Microsoft liefert wie bei jedem Patchday auch ein aktualisiertes Malicous Software Removal Tool aus, das einige der verbreitesten Schädlinge erkennen und entfernen soll – das kann hoffentlich auch die Schädlinge entfernen, die sich Anwender möglicherweise durch die noch offenstehenden Schwachstellen eingefangen haben.

Siehe dazu auch:

    * Microsoft Security Bulletin Advance Notification für September 2007, Vorankündigung und Übersicht der geplanten Updates von Microsoft

Quelle und Links : http://www.heise.de/newsticker/meldung/95623

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube
Patch Day: Microsoft vertagt angekündigtes Security Bulletin
« Antwort #83 am: 10 September, 2007, 18:51 »
Entgegen der ursprünglichen Ankündigung will Microsoft am morgigen Patch Day nur vier statt fünf Security Bulletins veröffentlichen. Die Behandlung einer Sicherheitslücke in den Sharepoint-Diensten wird erst einmal vertagt.

Am Dienstag, den 11. September, ist der monatliche Patch Day bei Microsoft. Wie üblich hat Microsoft vorab bekannt gegeben, wie viele Security Bulletins zu erwarten sind und welche Software-Komponenten betroffen sein werden. Die am 6. September veröffentlichte Advance Notification hat Microsoft am Freitag korrigiert und ein Security Bulletin gestrichen, das sich mit einer Sicherheitslücke in den Sharepoint-Diensten von Windows Server befassen sollte.

Einen Grund für die Vertagung hat Microsoft nicht angegeben. Es ist jedoch nicht das erste Mal, dass Microsoft ein angekündigtes Security Bulletin in letzter Minute streicht, weil beim Testen des zugehörigen Updates Probleme aufgetaucht sind. Die Qualitätstests für diese Updates sind streng und eine Aktualisierung, die mehr Probleme bereitet als sie löst, soll möglichst nicht ausgeliefert werden.

In den Sharepoint-Diensten gibt es eine Sicherheitslücke, die seit Mai dieses Jahres bekannt ist. Bislang sind jedoch noch keine Fälle bekannt geworden, in denen die XSS-Schwachstelle (Cross-Site Scripting) ausgenutzt worden wäre. Sicherheitsfachleute hatten erwartet, dass Microsoft diese Anfälligkeit im September beseitigen würde. Nun haben potenzielle Angreifer voraussichtlich einen weiteren Monat Zeit, um ein funktionierendes Angriffsszenario zu entwickeln.

Quelle : www.pcwelt.de

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube
Vier Lücken weniger zum September-Patchday von Microsoft
« Antwort #84 am: 12 September, 2007, 08:09 »
Microsoft hat am heutigen Patchday lediglich vier Updates ausgeliefert. Angekündigt waren fünf, doch der Fix für die SharePoint-Services ist aus bislang unbekannten Gründen entfallen. Ein kritisches Update gibt es für den Windows Agent von Windows 2000 SP4. Der MSN beziehungsweise Windows Live Messenger, Crystal Reports für Visual Studio und die Windows-Dienste für UNIX haben jeweils ein Update mit der Risikoeinstufung "hoch" erhalten. Bei der URI-Problematik, an der unter Anderem Firefox und Skype zu knabbern haben, sehen die Redmonder somit offenbar keinen Handlungsbedarf auf Betriebssystemebene.

Vornehmliches Augenmerk liegt am September-Patchday auf der ältesten noch mit Sicherheits-Patches versorgten Windows-Version, die vorallem noch im Unternehmensbereich eingesetzt wird. Die Lücke im Windows Agent von Windows 2000 SP4 kann es Angreifern übers Netz ermöglichen, mit Hilfe manipulierter URLs beliebigen Schadcode auszuführen. Eine vergleichbares Problem hatten die Redmonder bereits im April behoben, damals betraf es jedoch die gesamte Windows-Familie.

Mit Version 8.1 des Windows Live Messengers und Version 7.0.0820 des MSN Messengers behebt Microsoft eine Schwachstelle, die Angreifern die Schadcodeausführung übers Netz ermöglicht. Das Problem betrifft Nutzer des Windows Live Messengers 8.0 und seiner Vorgängerversionen MSN Messenger 6.2, 7.0 und 7.5 gleichermaßen. Einfallstor ist hier wie vermutet das Annehmen manipulierter Video-Chat-Einladungen. Wenn Anwender mit Administratorrechten arbeiten, können Angreifer auf diese Weise sogar die vollständige Kontrolle über das System übernehmen.

Die Verwundbarkeit in Crystal Reports betrifft Visual Studio .NET 2002 und 2003 sowie Visual Studio 2005. Angreifer können durch sie beliebigen Schadcode einschleusen, wenn sie Anwender dazu bringen, präparierte RPT-Dateien beispielsweise in einem E-Mail-Anhang zu öffnen.

Durch die Windows-Dienste für UNIX, die auch als "Subsystem für UNIX-basierte Anwendungen" bekannt sind, können sich Angreifer aufgrund einer Schwachstelle erhöhte Zugriffsprevilegien verschaffen. Betroffen sind die UNIX-Dienste aller Windows-Versionen seit Windows 2000 einschließlich der 64-Bit-Versionen, standardmäßig sind sie jedoch nicht installiert.

Siehe dazu auch:

    * Microsoft Security Bulletin Summary für September 2007, Zusammenfassung von Microsoft
    * MS07-051 - Sicherheitsanfälligkeit in Microsoft Agent kann Remotecodeausführung ermöglichen (938827)
    * MS07-052 - Sicherheitsanfälligkeit in Crystal Reports für Visual Studio kann Remotecodeausführung ermöglichen (941522)
    * MS07-053 - Sicherheitsanfälligkeit in Windows Services for UNIX kann Erhöhung von Berechtigungen ermöglichen (939778)
    * MS07-054 - Sicherheitsanfälligkeit in MSN Messenger und Windows Live Messenger kann Remotecodeausführung ermöglichen (942099)
    * MSN Messenger lässt sich Code unterschieben, Meldung von heise Security

Quelle und Links : http://www.heise.de/security/news/meldung/95840/Vier-Luecken-weniger-zum-September-Patchday-von-Microsoft

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube
Sieben Sicherheits-Updates von Microsoft am nächsten Patchday
« Antwort #85 am: 05 Oktober, 2007, 14:14 »
Microsoft plant am kommenden Dienstag, den 9. Oktober, sieben Security Bulletins nebst Sicherheits-Updates zu veröffentlichen. Vier der Fehlerbeschreibungen behandeln kritische Lücken in Windows 2000, XP, Server 2003 und Vista sowie Word 2000 und 2002, die das Einschleusen und Ausführen von Code aus den Ferne ermöglichen sollen. Die drei restlichen Bulletins beschreiben nur als "Important" eingestufte Updates für Windows 2000, XP, Server 2003 und Vista, die sich nach Angaben von Microsoft unter anderem für DoS-Angriffe ausnutzen lassen.

Des Weiteren gibt es wie jeden Monat eine neue Version des Windows Malicious Software Removal Tool, mit denen sich einige Schädlinge und Rootkits entdecken und beseitigen lassen. Schließlich gibt es noch drei weitere nicht sicherheitsrelevante Updates per Microsoft Update (MU) und Windows Server Update Services (WSUS) sowie ein Update für Windows via Windows Update (WU). Einzelheiten gibt es dazu nicht.

Siehe dazu auch:

    * Microsoft Security Bulletin Advance Notification for October 2007, Ankündigung von Microsoft -> http://www.microsoft.com/technet/security/bulletin/ms07-oct.mspx

Quelle : www.heise.de

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube
Sechs statt sieben Bulletins am Oktober-Patchday von Microsoft
« Antwort #86 am: 10 Oktober, 2007, 07:05 »
Microsoft hat am heutigen Oktober-Patchday insgesamt sechs Advisories herausgegeben. Mit der Risikobewertung "kritisch" versehene Schwachstellen haben die Redmonder im Internet Explorer, in Outlook Express, in Windows Mail und im Kodak Image Viewer von Windows behoben. Durch sie können Angreifer unter Umständen übers Netz die Kontrolle über ungepatchte Systeme übernehmen. Ein Fix für den RPC-Dienst von Windows und der beim September-Patchday verschobene Patch für SharePoint tragen die zweithöchste Risikoeinstufung "hoch", da sie sich lediglich für Denial-Of-Service-Angriffe beziehungsweise Ausweitung der Zugriffsrechte missbrauchen lassen.

Internet Explorer 5.5, 6 und 7 wurden von Microsoft in einem "kumulativen Update" gleich mit drei Patch-Paketen bedacht. Das erste Patch-Bündel behebt eine nicht näher erläuterte unvollständige Fehlerbehandlung, die Schadcodeausführung beim Besuch manipulierter Webseiten ermöglicht. Microsoft weist explizit darauf hin, dass die Schwachstelle weniger weitreichende Auswirkungen auf Anwender hat, die nicht mit Administratorrechten arbeiten. Die beiden anderen Patch-Bündel betreffen die Adresszeile des Browsers. Ohne die Patches können Angreifer erreichen, dass Anwender nach dem Klicken auf spezielle Links zwar eine möglicherweise vertrauenswürdige URL angezeigt bekommen, der dargestellte Inhalt jedoch von einem völlig anderen Server unter Kontrolle des Angreifers stammt. Dies macht beispielsweise Phishing-Angriffe erheblich leichter.

Ungepatchte Outlook Express 5.5 und 6 sowie Windows Mail von Vista lassen sich Schadcode in manipulierten USENET-Nachrichten unterschieben, die im NNTP-Protokoll übertragen werden. Die erweiterte Mailer-Variante Outlook, die Teil von Microsofts Office-Paketen ist, enthält den Fehler offenbar nicht. Wer speziell präparierte Word-Dokumente öffnet, kann sich bei Word 2000 und 2002 (jeweils mit Service Pack 3) ebenfalls Schadcode einfangen. Microsoft Office 2004 für den Mac ist ebenfalls verwundbar und sollte aktualisiert werden.

Die Schwachstelle im RPC-Dienst können Angreifer übers Netz ausnutzen, indem sie manipulierte RPC-Authenfizierungsanfragen an verwundbare Systeme schicken. Der Fehler befindet sich in allen aktuellen Windows-Versionen. Die Kodak-Image-Viewer-Lücke hingegen betrifft eigentlich nur Windows 2000 SP4. Allerdings sollen auch Windows XP und Server 2003 verwundbar sein, wenn sie als Update eines Windows-2000-Systems eingespielt wurden. Die 64-Bit-Versionen und Vista bleiben von dem Problem laut Microsoft verschont.

Die SharePoint-Lücke betrifft den SharePoint Server 2007 von Microsoft Office sowie die SharePoint Services 3.0 von Windows Server 2003. Angreifer können sich mit speziellem Scripting-Code erweiterte Zugriffsrechte verschaffen und Cache-Daten verändern, was laut Bulletin die Preisgabe vertraulicher Informationen zur Folge haben kann.

Als Grund für das Ausbleiben des angekündigten siebten Bulletins nennt das Microsoft Security Response Center Blog lapidar "ein Problem bei der Qualitätssicherung". Dort findet sich auch der Hinweis, dass das Microsoft Bulletin MS05-004, das Anfang 2005 eine kritische Schwachstelle in ASP.NET behandelte, nun in der überarbeiteten Version 4.0 erschienen ist. Die neue Version unterscheidet sich nur dadurch von der vorigen, dass sie auch Server 2003 Service Pack 2 und Vista als betroffene Plattformen erkennt.

Siehe dazu auch:

    * Microsoft Security Bulletin Summary für Oktober 2007, Zusammenfassung von Microsoft
    * Vulnerability in Kodak Image Viewer Could Allow Remote Code Execution (923810), Microsoft-Bulletin MS07-055
    * Security Update for Outlook Express and Windows Mail (941202), Microsoft-Bulletin MS07-056
    * Cumulative Security Update for Internet Explorer (939653), Microsoft-Bulletin MS07-057
    * Vulnerability in RPC Could Allow Denial of Service (933729), Microsoft-Bulletin MS07-058
    * Vulnerability in Windows SharePoint Services 3.0 and Office SharePoint Server 2007 Could Result in Elevation of Privilege Within the SharePoint Site (942017), Microsoft-Bulletin MS07-059
    * Vulnerability in Microsoft Word Could Allow Remote Code Execution (942695), Microsoft-Bulletin MS07-060

Quelle und Links : http://www.heise.de/security/news/meldung/97150/Sechs-statt-sieben-Bulletins-am-Oktober-Patchday-von-Microsoft

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube
Nur zwei Sicherheitsupdates am kommenden Microsoft-Patchday
« Antwort #87 am: 09 November, 2007, 09:26 »
Nur zwei Security Bulletins nebst Sicherheitsupdates will der Software-Konzern Microsoft am kommenden Dienstag, den 13. November, herausgeben. Die Updates sollen Schwachstellen in Windows 2000 SP4, XP SP2 und Server 2003 SP1/SP2 schließen. Das erste Update soll mindestens eine kritische Lücke schließen, durch die sich Code einschleusen und ausführen lässt. Wieviel Lücken es insgesamt schließt, ist der Ankündigung nicht zu entnehmen. Das zweite Update soll eine Spoofing-Schwachstelle beheben. Nähere Angaben machen die Redmonder auch hier nicht.

Wie üblich wird das Software Removal Tool aktualisiert. Zudem kündigt Microsoft für den Patchday drei weitere aber nicht-sicherheitsrelevate Updates an, die per Microsoft Update (MU) und Windows Server Update Services (WSUS) verteilt werden sollen.

Siehe dazu auch:

    * Microsoft Security Bulletin Advance Notification for November 2007, Ankündigung von Microsoft -> http://www.microsoft.com/technet/security/bulletin/ms07-nov.mspx

Quelle : www.heise.de

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube
Microsoft patcht URI-Sicherheitslücke
« Antwort #88 am: 13 November, 2007, 21:57 »
Der Softwareriese aus Redmond veröffentlicht am November-Patchday wie angekündigt zwei Security-Bulletins. Eines der Updates behebt den Fehler bei der Verarbeitung präparierter URLs, das andere eine Sicherheitslücke in den Windows-DNS-Servern.

Nachdem vor etwa einem Monat bekannt wurde, dass auch Microsoft-Produkte wie Outlook von dem Problem bei der Verarbeitung präparierter URLs der Gestalt mailto:%xx../../../../../../../../../windows/system32/calc.exe".cmd betroffen sind, hat das Unternehmen einen Patch angekündigt – und liefert ihn ab sofort mit dem Update aus, das das Security-Bulletin MS07-061 behandelt. Wer noch einen inoffiziellen Patch installiert hat, sollte diesen jetzt wieder entfernen.


Nach dem Einspielen des Updates MS07-061 erzeugen
die präparierten URIs nur noch eine Fehlermeldung.


Microsoft erläutert in der Sicherheitsmeldung, dass der kritische Fehler auf die fehlerhafte Überprüfung von übergebenen URLs durch die Windows Shell zurückzuführen ist. Der Fehler tritt allerdings nur auf, wenn Internet Explorer 7 installiert ist. Die Lücke wurde bereits mit speziell präparierten PDF-Dateien ausgenutzt, die beim Öffnen mit dem Adobe Reader Schad-Software installierten. Das Update ersetzt die betroffene Datei Shell32.dll durch eine fehlerbereinigte Fassung. Als betroffene Windows-Versionen listet Microsoft Windows XP SP2, die 64-Bit-Version von XP mit und ohne Service Packs sowie Windows Server 2003 mit und ohne Service Packs sowie die 64-Bit-Fassung und die Itanium-Versionen auf.

Das zweite Update behebt eine mit der Gefahrenstufe hoch bewertete Lücke in den Windows-DNS-Servern. Unter Windows 2000 Server sowie unter Windows Server 2003 kann eine zu geringe Entropie bei der Generierung der Transaction-IDs dazu führen, dass Angreifer eine Transaction-ID erfolgreich erraten und damit dem Server gefälschte DNS-Antworten etwa für Phishing-Angriffe unterschieben können. Eine ähnliche Lücke im DNS-Server BIND 8 läutete Ende August dessen offizielles Ende ein.

Im Blog des Microsoft Security Response Centers kündigen die Redmonder außerdem eine überarbeitete Fassung des Updates MS07-049 an, das sicherheitsrelevante Fehler in Virtual PC und Virtual Server behebt. Bei der älteren Version habe die Installationsroutine gelegentlich versagt. Wer das Update bereits erfolgreich eingespielt hat, braucht es daher nicht nochmal einzuspielen. Wie an jedem Patchday liefert Microsoft auch ein aktualisiertes Malicous Software Removal Tool (MSRT) aus, das einige der aktuell aktiven Schädlinge erkennen und beseitigen können soll.

Siehe dazu auch:

    * Microsoft Security Bulletin Summary für November 2007, Übersicht der Sicherheitsmeldungen von Microsoft
    * Sicherheitsanfälligkeit bei der URI-Verarbeitung in Windows kann Remotecodeausführung ermöglichen, Sicherheitsmeldung von Microsoft
    * Sicherheitsanfälligkeit in DNS kann Spoofing ermöglichen, Security-Bulletin von Microsoft

Quelle und Links : http://www.heise.de/security/news/meldung/98929/Microsoft-patcht-URI-Sicherheitsluecke

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )

Offline SiLæncer

  • Cheff-Cubie
  • *****
  • Beiträge: 189183
  • Ohne Input kein Output
    • DVB-Cube
Dezember-Patchday: Microsoft will Windows noch dichter machen
« Antwort #89 am: 07 Dezember, 2007, 10:46 »
Sieben Sicherheits-Updates will Microsoft am kommenden Dienstag, den 11.12., herausgeben. Drei davon sollen mindestens eine kritische Sicherheitslücke schließen. Dazu gehören DirectX 7.0 bis 10.0, der Internet Explorer in den Versionen 5, 6 und 7 sowie die Windows Media Format Runtime 7.1 bis 11 und die Windows Media Services 9.1, die unter anderem vom Windows Media Player genutzt werden. Alle Lücken ermöglichen laut Ankündigung das Einschleusen und Ausführen von Code aus der Ferne.

Die anderen vier Updates stuft Microsoft nur als "Wichtig" ein, obwohl immerhin zwei Lücken ebenfalls Gelegenheit zur Infektion eines Windows-Systems aus der Ferne geben sollen. Nähere Einzelheiten nennen die Redmonder in ihrer Advance Notification wie üblich nicht. Die Vorschau der Lücken konterkariert allerdings die kürzlich vertretene Auffassung von Microsoft, dass die Lücken im Betriebssystem zurückgingen und solche in Anwendungen zunehmen würden: Die Zahl die Windows-Lücken dominiert am kommenden Patchday eher.

Wie immer gibt es eine aktualisierte Fassung des Microsoft Windows Malicious Software Removal Tools. Zusätzlich zu den Sicherheitsupdates soll es sieben nicht sicherheitsrelevante Patches geben, die über Microsoft Update (MU), Windows Server Update Services (WSUS) oder Windows Update (WU) angeboten werden sollen.

Siehe dazu auch:

    * Microsoft Security Bulletin Advance Notification for December 2007, Ankündigung von Microsoft
    * Blue-Hat-Konferenz: Windows dicht, Anwendungen gefährlich, Meldung auf heise Security

Quelle und Links : http://www.heise.de/newsticker/meldung/100211

Arbeits.- Testrechner :

Intel® Core™ i7-6700 (4 x 3.40 GHz / 4.00 GHz)
16 GB (2 x 8 GB) DDR4 SDRAM 2133 MHz
250 GB SSD Samsung 750 EVO / 1 TB HDD
ZOTAC Geforce GTX 1080TI AMPExtreme Core Edition 11GB GDDR5
MSI Z170A PC Mate Mainboard
DVD-Brenner Laufwerk
Microsoft Windows 10 Home 64Bit

TT S2 3200 ( BDA Treiber 5.0.1.8 ) + Terratec Cinergy 1200 C ( BDA Treiber 4.8.3.1.8 )