RUS-CERT-1073 – Archivierte Meldung

Meldung Nr: RUS-CERT-1073

[MS/IE] Sammelpatch für den Internet Explorer verfügbar
(2003-02-06 17:36:45.700942+00)

Quelle: http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-004.asp

Microsoft stellt für den Internet Explorer einen neuen Sammelpatch zur Verfügung, der zwei bislang nicht behobene Schwachstellen beseitigt.

Betroffene Systeme

Microsoft Internet Explorer 5.01
Microsoft Internet Explorer 5.5
Microsoft Internet Explorer 6.0

Einfallstor
Arglistige Webseite bzw. HTML-Dokument (z.B. HTML-E-Mail)

Auswirkung
Ausführung beliebigen Programmcodes mit den Privilegien des Internet-Explorer-Benutzers.
(remote user compromise)

Typ der Verwundbarkeit
Verstoß gegen die same origin policy

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Der nun von Microsoft zur Verfügung gestellte Sammelpatch behebt zwei bislang nicht korrigierte Schwachstellen bzgl. des Cross-Domain Sicherheitsmodells. Eine Schwachstelle betrifft die unsichere Behandlung von Dialogboxen, die andere die Windows Hilfsfunktionalität "windows.showHelp()".

Der vorliegende kumulative Patch verhindert die Ausführung von "windows.showHelp()", wodurch HTML-Hilfsseiten unter Umständen nicht mehr angezeigt werden. Eine überarbeitete Version dieser Funktion, die eine restriktiv eingeschänkte Nutzung (wieder) ermöglicht, stellt Microsoft lediglich über Windows Update als "HTML Help update (811630)" zur Verfügung.

Gegenmaßnahmen
Microsoft stellt einen Sammelpatch zur Verfügung:

http://www.microsoft.com/windows/ie/downloads/critical/810847/default.asp

Der IE 5.01 Sammelpatch kann auf Windows 2000 Service Pack 3 Systemen installiert werden. Der Patch für den IE 5.5 erfordert den installierten IE 5.5 Service Pack 2. Der Patch für den IE 6.0 kann auf Systemen mit oder ohne Service Pack 1 für den IE 6.0 installiert werden. Nach der Installation des Sicherheitsupdates ist ein Neustart des Systems erforderlich.

Hinweis: Auch mit diesem Sicherheitsupdate gibt es nach wie vor bekannte Schwachstellen im Internet Explorer, wodurch arglistige Webseiten beliebige lokale Dateien auslesen und Programmcode ausführen können.

Vulnerability ID

CAN-2003-1326 Improper Cross Domain Security Validation with dialog box
CAN-2003-1328 Improper Cross Domain Security Validation with ShowHelp functionality

Weitere Information zu diesem Thema

Microsoft Security Bulletin MS03-004 Cumulative Patch for Internet Explorer (810847)

(tf)

Weitere Artikel zu diesem Thema:

[MS/IE] Sammelpatch für den Microsoft Internet Explorer (2002-12-06)
Der Microsoft Internet Explorer weist eine Schwachstelle bei der Sicherheitsüberprüfung gemäß der "same origin policy" auf, wodurch arglistige Webseiten zumindest auf dem System vorhandenen Programmcode ausführen können.
[MS/IE] Sammelpatch für den Internet Explorer verfügbar (2002-11-22)
Mit dem nun von Microsoft zur Verfügung gestellten Sammelpatch für den Internet Explorer werden sechs bislang nicht berücksichtigte Schwachstellen geschlossen.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

https://cert.uni-stuttgart.de/ticker/article.php?mid=1073