MS stopft Lücken in MS Virtual Machine
Mit einem neu veröffentlichten Patch behebt Microsoft [MS] sieben Sicherheitslücken der Microsoft Virtual Machine [MS VM].
MS stuft die Lücken als kritisch ein, teilweise könne ein Angreifer sogar die Kontrolle über ein gesamtes System eines anderen Users erlangen.
Die entdeckten Lücken ermöglichen es einem Eindringling, über eine entsprechend präparierte Website oder HTML-Mail die Lecks in der Software zu nützen.
Alle Builds der MS VM bis und inklusive des Build 5.0.3805 sind von diesen Problemen betroffen. Der Patch für die Virtual Machine steht derzeit nur über die Windows-Update-Funktion zum Download bereit.
Microsoft Security Bulletin MS02-069Die Lücken
Über nicht zertifizierte Java-Applets kann von außen auf COM-Objekte zugegriffen werden, ein Angreifer könnte so die Kontrolle über das gesamte System übernehmen.
Weiters könne ein Java-Applet, das normalerweise nur auf die Datei, in der es sich befindet, und die darunter liegenden Ordner zugreifen kann, über ein Leck auch lokale Dateien des Nutzers als seinen Einsatzort interpretieren.
Ein weiteres Leck ermöglicht es, ein Applet ohne das Wissen des Users von einer anderen Website auszuführen. Als Resultat hat der Angreifer Zugang zu den vom User an die vermeintliche Site übermittelten Daten.
Auch der Zugriff auf JDBC-APIs und somit das Hinzufügen, Löschen oder Bearbeiten von Datenbank-Inhalten soll der Virtual Machine über eine Lücke möglich sein.
Weiters könne ein Angreifer das Ausführen und Laden bestimmter Java-Objekte verhindern. Der Name des Nutzers kann ebenfalls über eine Lücke ausgeforscht und missbraucht werden. Schließlich kann ein Angreifer Applikationen wie den Internet Explorer gezielt über ein Sicherheitsleck zum Absturz bringen.