Stabsstelle Informationssicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-1073

[MS/IE] Sammelpatch für den Internet Explorer verfügbar
(2003-02-06 17:36:45.700942+00)

Quelle: http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-004.asp

Microsoft stellt für den Internet Explorer einen neuen Sammelpatch zur Verfügung, der zwei bislang nicht behobene Schwachstellen beseitigt.

Betroffene Systeme

Einfallstor
Arglistige Webseite bzw. HTML-Dokument (z.B. HTML-E-Mail)

Auswirkung
Ausführung beliebigen Programmcodes mit den Privilegien des Internet-Explorer-Benutzers.
(remote user compromise)

Typ der Verwundbarkeit
Verstoß gegen die same origin policy

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Der nun von Microsoft zur Verfügung gestellte Sammelpatch behebt zwei bislang nicht korrigierte Schwachstellen bzgl. des Cross-Domain Sicherheitsmodells. Eine Schwachstelle betrifft die unsichere Behandlung von Dialogboxen, die andere die Windows Hilfsfunktionalität "windows.showHelp()".

Der vorliegende kumulative Patch verhindert die Ausführung von "windows.showHelp()", wodurch HTML-Hilfsseiten unter Umständen nicht mehr angezeigt werden. Eine überarbeitete Version dieser Funktion, die eine restriktiv eingeschänkte Nutzung (wieder) ermöglicht, stellt Microsoft lediglich über Windows Update als "HTML Help update (811630)" zur Verfügung.

Gegenmaßnahmen
Microsoft stellt einen Sammelpatch zur Verfügung:

Der IE 5.01 Sammelpatch kann auf Windows 2000 Service Pack 3 Systemen installiert werden. Der Patch für den IE 5.5 erfordert den installierten IE 5.5 Service Pack 2. Der Patch für den IE 6.0 kann auf Systemen mit oder ohne Service Pack 1 für den IE 6.0 installiert werden. Nach der Installation des Sicherheitsupdates ist ein Neustart des Systems erforderlich.

Hinweis: Auch mit diesem Sicherheitsupdate gibt es nach wie vor bekannte Schwachstellen im Internet Explorer, wodurch arglistige Webseiten beliebige lokale Dateien auslesen und Programmcode ausführen können.

Vulnerability ID

Weitere Information zu diesem Thema

(tf)

Weitere Artikel zu diesem Thema:

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=1073