139898

Sicherheitsloch in Outlook

Eine neue Sicherheitslücke gefährdet Benutzer von Outlook und Outlook Express. Unabhängige Experten haben entdeckt, dass herkömmliche Mails so konstruiert werden können, dass sie automatisch beliebige Befehle auf dem Computer ausführen. Der Benutzer muss die Mail dazu nicht einmal lesen. Allein das Herunterladen von Mailserver genügt.

Eine neue Sicherheitslücke gefährdet Benutzer von Outlook und Outlook Express. Unabhängige Experten haben entdeckt, dass herkömmliche Mails so konstruiert werden können, dass sie automatisch beliebige Befehle auf dem Computer ausführen. Der Benutzer muss die Nachricht dazu nicht einmal lesen. Allein das Herunterladen vom Mailserver genügt.

Die Technik, die der Sicherheitslücke zugrunde liegt, ist denkbar einfach: An den GMT-Teil der Mail, in dem Versand-Datum und -Uhrzeit vermerkt sind, hängt der böswillige Absender eine beliebige Menge von Schriftzeichen an. Outlook kann die große Anzahl von Zeichen nicht korrekt verarbeiten und erleidet einen "Buffer Overflow". Die überschüssigen Zeichen werden als normaler Befehlscode verstanden - so als hätte ihn der Benutzer selber eingegeben. Auf diese Weise lassen sich auf dem Rechner des Opfers beliebige Befehle ausführen - bis hin zum Löschen der Festplatte.

Microsoft hat die Mail-Sicherheitslücke bestätigt, führt sie aber nicht auf Outlook selbst, sondern auf den Internet Explorer zurück. Betroffen seien alle Versionen außer dem IE 5.5 sowie der IE-Version 5.01 mit dem Service Pack 1. Windows-2000-Anwender sind allerdings mit dem IE 5.5. trotzdem gefährdet. Ihnen wird empfohlen, auf die Version IE 5.01 SP1 umzusteigen, bis Microsoft eine andere Lösung gefunden hat. (PC-WELT, 19.07.2000, meh/ am)

Security-Update für Outlook (PC-WELT Online, 9.6.2000)

Unzulängliche Sicherheit um jeden Preis?

0 Kommentare zu diesem Artikel
139898