Stabsstelle DV-Sicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-813

[MS/MSN Chat] Pufferüberlaufschwachstelle in MSN Chat-Komponente - Update
(2002-06-12 09:57:23.235995+00)

Quelle: http://cert.Uni-Stuttgart.DE/archive/bugtraq/2002/05/msg00104.html

Das MSN Chat (ActiveX)-Control, welches auch Bestandteil des MSN Messenger und des Exchange Instant Messenger ist, weist eine Pufferüberlaufschwachstelle auf. Die zuerst verfügbaren Sicherheitsupdates hatten nicht alle Schwachstellen beseitigt, wodurch Microsoft am 11.06.2002 neue Patches veröffentlicht hat.

Betroffene Systeme

Einfallstor
Arglistige Webseite, HTML-E-Mail, HTML-Newsgroup-Artikel sowie Office-Dokumente

Auswirkung
Ausführung beliebigen Programmcodes mit den Privilegien des Anwenders. Bei Windows 95/98/ME bzw. falls der Benutzer mit administrativen Privilegien arbeitet, kann diese Schwachstelle zu einer Systemkompromittierung führen.
(remote code execution, remote user compromise)

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Das MSN Chat ActiveX control weist in dem "ResDLL"-Parameter eine Pufferüberlaufschwachstelle auf. Durch diese Schwachstelle können arglistige Webseiten, HTML-E-Mails, HTML-Newsgroup-Artikel sowie Office-Dokumente beliebigen Programmcode beim Betrachten dieser Seiten/Dokumente auf dem System ausführen.

Da das verwundbare ActiveX-Control von Microsoft signiert ist, sind Benutzer des Microsoft Internet Explorers, die Microsoft signierte ActiveX-Controls zustimmen/installieren, potentiell gefährdet. Beim Besuchen von Webseiten die dieses ActiveX-Control benötigen, werden sie aufgefordert, das fehlende ActiveX-Control zu installieren. Dabei kann es sich gegebenenfalls um eine verwundbare (d.h. nicht aktuelle Version) handeln, die dennoch von Microsoft signiert ist.

Das MSN Chat ActiveX-Control wird bei vielen MSN Chat-Räumen benötigt. Insofern sind Systeme, von denen auf den MSN-Chat zugegriffen wurde, potentiell verwundbar. Der Windows Messenger unter Windows XP beinhaltet das verwundbare MSN Chat Control standardmäßig nicht.

Gegenmaßnahmen
Microsoft hat am 11.06.2002 neue, überarbeitete Patches veröffentlicht. Sollten Sie bereits vor dem 11.06.2002 den notwendigen Patch installiert haben, sollte zusätzlich auch die aktualisierte Version des Patches installiert werden.

Vulnerability ID

Weitere Information zu diesem Thema

Revisionen

(tf)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=813