10026

ActiveX-Lücke: MS-Patch stopft Lücke nicht komplett

21.01.2005 | 15:22 Uhr |

Die Sicherheitsspezialisten von Gecad warnen davor, dass eine Sicherheitslücke weiterhin besteht, obwohl Microsoft sie am letzten Patch-Day gefixt hatte.

Die Sicherheitsspezialisten von Gecad haben eine Warnung herausgegeben, nach der eine Sicherheitslücke in Windows weiterhin besteht, obwohl Microsoft sie erst vor einigen Tag per Patch gefixt hatte.

Microsoft hatte am vergangenen Patch-Day ( wir berichteten ausführlich ) mit dem Sicherheitsupdate MS05-001 einen Patch für alle Windows-Versionen veröffentlicht, durch den eine Sicherheitslücke in den ActiveX-Steuerelementen der HTML-Hilfe geschlossen wurde. Die Lücke bot Angreifern die Möglichkeit, die vollständige Kontrolle über ein Windows-System zu übernehmen. Erstmals seit Erscheinen des Service Pack 2 für Windows XP waren auch Anwender mit Windows XP und installiertem Service Pack 2 betroffen von der Lücke.

GeCad hatte Microsoft laut eigenen Angaben am 7. Januar über diese Sicherheitslücke informiert. Microsoft reagierte am 11. Januar am Patch-Day mit dem entsprechenden Sicherheitsupdate. Nachforschungen von Gecad ergaben allerdings, dass die Sicherheitslücke nicht vollständig geschlossen wurde.

Neue Analysen hätten ergeben, dass durch mindestens eine neue Methode der Attacke die Sicherheitslücke weiterhin von einem Angreifer ausgenutzt werden könnte. Eine dieser Attacken habe man im Labor erfolgreich durchführen können, trotz installiertem Patch MS05-001.

Entwarnung gibt es aber dennoch: Windows XP mit Service Pack 2 ist nicht betroffen. Laut GeCAD sind lediglich Windows XP SP1 und Windows 2000 SP 4 mit jeweils Internet Explorer 6.0 betroffen. Genauere Details will Gecad nicht geben, um Microsoft erneut genügend Zeit zu geben, um zu reagieren. Die Sicherheitslücke wird von Gecad weiterhin als kritisch eingestuft.

Windows-XP-Anwendern wird dringend empfohlen, dass Service Pack 2 zu installieren. Bei Windows 2000 sollte den Sicherheitseinstellungen des Internet Explorer auf "Hoch" gestellt werden. Das könnte allerdings dazu führen, dass viele Websites nicht mehr richtig funktionieren. Wer die Sicherheitseinstellung auf "Mittel" belässt sollte keine Seiten besuchen, über die er durch nicht vertrauenswürdige Quellen gelenkt wird. Das gilt natürlich auch für Windows XP SP1 - allerdings ist hier die Installation des SP2 die bessere Alternative.

Patch-Day: MS schließt drei Lücken - Antiviren-Tool erschienen (PC-WELT Online, 12.01.2005)

0 Kommentare zu diesem Artikel
10026