Das im März 2001 von Microsoft veröffentlichte Windows Script Host Update war fehlerhaft. Microsoft stellt nun eine korrigierte Version zur Verfügung.

Betroffene Systeme
Microsoft Betriebssysteme mit dem

• Windows Script Host 5.1 (Version kleiner 5.x.x.6330)
• Windows Script Host 5.5 (Version kleiner 5.x.x.6330)

Typ der Verwundbarkeit
design flaw

Beschreibung
Das im März 2001 veröffentlichte Windows Script Host Update, welches im Rahmen der in MS01-015 beschriebenen Sicherheitslücken als Update empfohlen wurde, ist fehlerhaft. Microsoft stellt nun korrigierte Windows Script Host Updates zur Verfügung.

Windows Script Host Versionen 5.1 und 5.5 mit einer Versionsnummerendung kleiner 6330 besitzen eine Schwachstelle, auf die bereits hier hingewiesen wurde. Es handelt sich um eine neue Variante der Frame Domain Verification, bei der die Anfragequelle fehlerhaft überprüft wird, wodurch beispielsweise arglistige Webseiten oder HTML-E-Mails Zugriff auf das lokale Dateisystem (mit den Privilegien des die Webseite oder E-Mail Betrachtenden) erhalten könnten.

Gefahrenpotential
mittel
(Hinweise zur Einstufung des Gefahrenpotentials.)

Gegenmaßnahmen

Patch für den Windows Scripting Host 5.1
• http://www.microsoft.com/msdownload/vbscript/scripting51.asp

Patch für den Windows Scripting Host 5.5
• http://www.microsoft.com/msdownload/vbscript/scripting.asp

Weitere Information zu diesem Thema

• MS01-015 IE can Divulge Location of Cached Content
• MS00-033 Frame Domain Verification, Unauthorized Cookie Access and Malformed Component Attribute

Weitere Artikel zu diesem Thema:

• [MS/IE] Arglistige Webseiten oder HTML-E-Mails können beliebige Dateien auslesen (2001-11-26)
  Durch Schwachstellem im Microsoft Internet Explorer können arglistige Webseiten oder HTML-E-Mails beliebige Dateien auslesen.
• [MS/IE 5.x] Schwachstelle in der Cache-Architektur des Internet Explorers (2001-03-09)
  Die Cache-Architektur des Internet Explorers besitzt eine Schwachstelle wodurch beim Betrachten einer arglistigen Webseite oder HTML-Email beliebiger Programmcode ausgeführt werden kann.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/