Microsoft warnt vor drei Lücken
Microsoft warnt wieder vor drei Sicherheitslücken gleichzeitig und bietet die entsprechenden Patches an.
Das erste Security Bulletin betrifft Windows 2000 und wird von Microsoft als "durchschnittlich" eingestuft.
Windows 2000 erlaubt standardmäßig der "Alle Benutzer"-Gruppe vollen Zugriff [Everyone:F] auf das System-Root-Verzeichnis [normalerweise C:]. In den meisten Fällen befindet sich das System-Root-Verzeichnis nicht im Suchpfad. Allerdings ist es unter bestimmten Voraussetzungen möglich ¿ zum Beispiel während der Anmeldung oder während Applikationen direkt aus dem Windows Desktop über Start | Ausführen gestartet werden ¿ das dies passiert. Diese Situation kann ein Szenario erlauben, in dem ein Angreifer einen Trojaner-Angriff gegen andere Benutzer im selben System starten kann, indem ein Programm im System-Root-Verzeichnis mit demselben Namen wie ein gängiges Programm platziert und darauf gewartet wird, dass andere Benutzer sich am System anmelden und das Programm starten.
Security Bulletin MS02-064Zweitens
Der zweite Security Bulletin betrifft Benutzer von Windows 2000 und Windows XP.
Administratoren, die PPTP Services anbieten, sollen den Patch laut MS umgehend installieren. Benutzer, die Remote Access unter Verwendung von PPTP benutzen, sollten demnach die Installation des Patches evaluieren.
Windows 2000 und Windows XP unterstützen standardmäßig das Point-to-Point Tunneling Protocol [PPTP6, eine Technologie im Rahmen des virtuellen privaten Netzwerks, die als Teil der Remote Access Services [RAS] eingesetzt wird. PPTP-Unterstützung ist ein optionaler Teil in Windows NT 4.0, Windows 98, Windows 98 SE und Windows ME. Ein Sicherheitsproblem besteht in der Implementation in Windows 2000 und Windows XP, da ein ungeprüfter Speicherpuffer in dem Teil des Codes besteht, der Kontrolldaten verarbeitet, die zur Herstellung, Unterhaltung und Trennung¿ von PPTP-Verbindungen benutzt wird. Werden speziell veränderte PPTP-Kontrolldaten an einen betroffenen Server gesendet, kann ein Angreifer Kernelspeicher korrumpieren und das System zum Versagen bringen, wodurch jede zu diesem Zeitpunkt vorgenommene Arbeit unterbrochen wird.
Microsoft Security Bulletin MS02-063Drittens
Der dritte Security Bulletin betrifft Kunden, die Web Server auf Microsoft Windows NT 4.0, Windows 2000 oder Windows XP betreiben
Benutzer, die IIS 4.0, 5.0 oder 5.1 verwenden, sollen laut MS die Installation des bereitgestellten Patches evaluieren.
Dies ist ein kumulativer Patch, der alle Funktionen der bisher erschienenen Security Patches für den IIS 4.0 seit dem Windows-NT-4.0-Service-Pack 6a für IIS 4.0 enthält sowie alle Security-Patches, die bis dato für den IIS 5.0 und IIS 5.1 erschienen sind. Zusätzlich zu allen bis dato erscheinen Sicherheitspatches enthält dieser Patch Fixes für eine Reihe neu entdeckter Sicherheitsprobleme, die IIS 4.0, 5.0 und/oder 5.1 betreffen.
Microsoft Security Bulletin MS02-062