Arcadewelten.eu

In bekannte Manier haben sich die Entwickler von 'Microsoft' auch in diesem Monat wieder eine Woche vor dem Patch-Day zu den bevorstehenden Updates geäußert. Am Dienstag will man 20 Sicherheitslücken schließen.

Zu diesem Zweck wird Microsoft im Rahmen des monatlichen Patch-Days, der immer am zweiten Dienstag im Monat stattfindet, 14 Patches zum Download freigegeben. Die Installation der Updates wird allen Windows-Nutzern empfohlen. Die angesprochenen Patches betreffen in diesem Monat die Windows-Betriebssysteme, den Internet Explorer und Office.

Aus den offiziellen Angaben geht hervor, dass drei Sicherheitslücken als kritisch eingestuft werden, da hierbei eine akute Gefahr für die Benutzer besteht. Ein Angreifer könnte die Schwachstellen unter Umständen ausnutzen, um Schadcode aus der Ferne auf die Systeme der Opfer einzuschleusen.

Die restlichen 11 Updates stuft Microsoft in die Kategorie „wichtig“ ein. Diese betreffen neben Windows-Systemen wie bereits angesprochen auch Microsoft Office und den Internet Explorer. Teilweise könnte ein Angreifer auch diese Schwachstellen zur Ausführung von Schadcode nutzen. Allerdings besteht hierbei keine größere Gefahr, so Microsoft.

Das Social Network Facebook und der Suchmaschinenkonzern Google können die Internetnutzer am längsten an die eigenen Angebote binden. Rund ein Viertel der gesamten Online-Zeit verbringen User durchschnittlich auf den beiden Plattformen, so eine Statistik des Monitoring-Unternehmens ComScore im Auftrag des IT-Branchenverbandes BITKOM.

Demnach hat sich das soziale Netzwerk Facebook zum zentralen Anlaufpunkt im Web entwickelt. Deutsche Internetnutzer verbrachten im September 16,2 Prozent ihrer Online-Zeit mit dem Dienst. Dem ging eine rasante Entwicklung voraus - zum Vergleich: Vor einem Jahr waren es erst 4,1 Prozent.

Auf Platz Zwei liegt Google mit einem Anteil der im Internet verbrachten Zeit von 12,3 Prozent. Dies umfasst alle Dienste dieses Anbieters - neben der Suchmaschine auch weitere Google-Services wie E-Mail, Video-Streaming auf Youtube oder Besuche im Social Network Google+.

Microsoft kommt mit seinen Internetangeboten wie Bing, MSN und Hotmail auf einen Anteil von 5 Prozent. Das Online-Handelsortal Ebay erreicht immerhin 2,4 Prozent, United Internet mit seinen Portalen Web.de und GMX 2,1 Prozent und die Deutsche Telekom 1,4 Prozent, hieß es.

Quelle: winfuture.de

Microsoft hat in dieser Woche einen fehlerhaften Patch für die hauseigene Sicherheitslösung namens Microsoft Security Essentials (MSE) in Umlauf gebracht. Dadurch kam es zu Problemen mit dem Chrome-Browser.

Microsoft Security Essentials identifizierte den Web-Browser von Google fälschlicherweise als den Trojaners PWS:Win32/Zbot. Hierbei handelt es sich um den bekannten Banking-Trojaner Zeus. Diese Tatsache sorgte, wie den Beiträgen im Google Support Forum zu entnehmen ist, in den Kreisen der Anwender für große Verwirrung.

Quelle : winfuture.de

Microsoft hat angekündigt, am kommenden Dienstag insgesamt 16 Patches zu veröffentlichen, die 34 Sicherheitslücken schließen. Neun der Patches beheben kritische Lücken, durch die Angreifer aus der Ferne Schadcode ins System einschleusen können. Elf der Patches betreffen Lücken in Windows; zumeist sind alle Windows-Versionen ab XP SP3 betroffen – ältere Versionen werden von Microsoft nicht länger gepflegt. Für den Internet Explorer wird es zwei Patches geben, beide schließen laut Hersteller kritische Lücken.

Quelle : heise.de

Microsoft schob in den vergangenen Tagen Anwendern der Windows Live Toolbar, der MSN Toolbar und der Bing Bar mit einem Update (automatisch übersetzter Knowledge-Base-Eintrag) für das Microsoft Search Enhancement Pack außer einer Erweiterung für den Internet Explorer auch ungefragt ein Firefox-Add-on unter. Abgesehen davon lässt sich die stillschweigend installierte "Search Helper Extension" nicht auf üblichem Wege entfernen ("Deinstallieren"-Schaltfläche ist ausgegraut).

quelle : heise.de

Im Betriebssystem Windows wurde eine kritische Sicherheitslücke entdeckt, die ausgenutzt werden kann, um einen PC aus der Ferne zu kontrollieren. Allein der Aufruf einer Website mit dem Internet Explorer kann ausreichen.

Schuld daran ist ein Fehler in der Windows-Hilfe, genauer gesagt in der Whitelist-Funktion, die festlegt, ob es sich bei einer Datei um ein legitimes Hilfedokument handelt. Diese Schutzfunktion kann umgangen werden, so dass ein aus dem Internet nachgeladenes Dokument lokale Anwendungen starten kann. Ein denkbares Angriffsszenario wäre das Starten eines Programms, das Malware aus dem Internet nachlädt.

quelle : winfuture.de

34 Schwachstellen will Microsoft am kommenden Dienstag in Windows, dem Internet Explorer und Office schließen. Sechs der angekündigten Bulletins zu den Lücken widmen sich alleine dem Windows-Betriebssystem, wovon die Redmonder vier als kritisch einstufen. Auch das Bulletin für den Internet Explorer wurde als kritisch eingestuft, wobei unklar ist, wie viel Lücken man genau schließen will.

Immerhin soll aber nun endlich die seit Februar bekannte Schwachstelle beseitigt werden, durch die eine präparierte Webseite beliebige Dateien auf einem Windows-PC auslesen kann.

quelle : heise.de

Der Bundesbeauftragte für Datenschutz, Peter Schaar, hat dringend vor Missbrauch bei der Ortung von Mobiltelefonen gewarnt. Bei der großen Zahl der Nutzer von Ortungssystemen könne nicht ausgeschlossen werden, dass auch Menschen geortet würden, "die weder davon wissen, noch damit einverstanden wären", sagte Schaar. "Diese heimliche Ortung muss gesetzlich und technisch soweit wie möglich unterbunden werden."

Paragraf 98 des Telekommunikationsgesetzes verlange eine schriftliche Einwilligung, geortet zu werden. Zudem müsse der Handy-Nutzer bei jeder fünften Ortung per Textmitteilung (SMS) darüber informiert werden. Unseriöse Anbieter umgingen diese Regelung aber, so Schaar. "Wenn jemand fälschlicherweise für mich eine solche Erklärung abgibt, habe ich als Betroffener kaum eine Möglichkeit herauszufinden, ob mein Handy geortet wird. Hier ist Missbrauch Tür und Tor geöffnet."

quelle : heise.de

In einem Interview mit dem Magazin PC Pro erklärte Microsofts Plattformstrategie-Chef Ryan Gavin, seine Aufgabe sei die "Zerstörung" des Internet Explorer 6. Dieser Webbrowser wurde 2001 mit Windows XP ausgeliefert und ist bei Sicherheitsbeauftragten und Entwicklern weithin unbeliebt, aber immer noch bei Firmen und außerhalb der Industrieländer breit im Einsatz. Laut Erhebungen hält er nach wie vor einen Anteil von knapp 18 Prozent. "Zu meinen Aufgaben gehört, den Anteil des IE6 so bald wie möglich auf Null zu bringen", sagte Gavin dem Magazin.

quelle : heise.de

Microsoft hat in der letzten Nacht ein Security Advisory veröffentlicht, in dem vor einer Sicherheitslücke in Windows 7 und dem Windows Server 2008 R2 gewarnt wird. Bislang steht für dieses Problem noch kein Patch zur Verfügung.

Die Sicherheitslücke existiert lediglich in den 64Bit-Editionen der beiden Betriebssysteme. Der Fehler befindet sich im Canonical Display Driver (cdd.dll). Microsoft geht nicht davon aus, dass ein Angreifer darüber bösartigen Code einschleusen kann. Dies wird dank der Speicherverwürfelung (Memory Randomization) erschwert. Es ist jedoch möglich ein System zum Absturz zu bringen.

quelle : winfuture.de

Microsoft hat nach Angaben des Sicherheitsexperten Nicolas Economou mit dem Update MS10-024 nicht nur eher harmlose Schwachstellen beseitigt, sondern heimlich auch zwei schwerwiegende Sicherheitslücken ausgemerzt, ohne dass die Öffentlichkeit davon erfuhr.

Wie Enonomou über den Sicherheitsdienstleister Core Security mitteilte, ermöglichten die heimlich geschlossenen Lücken Angreifern falsche Antworten auf DNS-Anfragen. Betroffen waren sowohl Microsoft Exchange, als auch der SMTP-Dienst von Windows 2000 und XP sowie Windows Server 2003 und 2008.

quelle : winfuture.de

Die kommende MySQL-Version 5.1.47 von Oracle soll mehrere wichtige Sicherheitspatches enthalten. Laut Changelog haben die Entwickler drei Sicherheitslücken geschlossen, durch die Angreifer den Server zum Absturz bringen, unbefugten Datenbankzugriff erlangen und schlimmstenfalls beliebigen Schadcode einschleusen und vom Server ausführen lassen könnten. Exakte Versionsangaben zu betroffenen Releases machen die Entwickler nicht.

Der erste Fehler entsteht laut Changelog durch die unzureichende Prüfung des Tabellennamenarguments des COM_FIELD_LIST-Kommandos, sodass ein Angreifer mit DELETE oder SELECT-Rechten in MySQL seit Version 5.1 auf eine beliebige Tabelle unbefugten Lese- und Schreibzugriff auf andere Tabellen tätigen kann.

quelle : heise.de

Der jüngste Spross der Wurm-Familie Palevo agiert aggressiver denn je. Wie BitDefender herausgefunden hat, haben Cyberkriminelle in den vergangenen Tagen eine Welle von automatisch generierten Instant Messages auf die Reise geschickt.

Die unaufgeforderte Meldung zeigt einen grinsenden Smiley und einen Link, der den User angeblich zu einem persönlichen Foto oder einer ganzen Galerie leitet. Statt einem Bild erhält das Opfer Worm.P2P.Palveo.DP – einen Wurm, der Remote-Angreifern eine "Hintertür" zu fremden PCs öffnet.

Nach Anklicken des Links im Instant Messenger erscheint ein Download-Fenster, in dem eine .jpg-Datei heruntergeladen werden kann. Betätigt der User den Download, schleust sich Palevo.DP auf dem Rechner ein. Auf einem ungeschützten System richtet der Wurm ein wahres Chaos an. Zunächst erstellt er mehrere versteckte Dateien im Windows-Ordner mit den Bezeichnungen mds.sys, mdt.sys, winbrd.jpg und infocard.exe. Anschließend verändert Palevo.DP einige Registrierungsschlüssel und setzt so die lokale Firewall des Betriebssystems außer Kraft.

quelle : winfuture.de

Microsofts SharePoint-Produkte weisen eine Cross-Site-Scripting-Schwachstelle (XSS) auf, mit der Angreifer eigenen JavaScript-Code im Browser eines Opfers im Kontext des Servers ausführen können. Angreifer können auf diese Weise das Authentifizierungscookie auslesen, das Konto des Anwenders manipulieren oder auf vertrauliche Daten zugreifen. Um Opfer eines Angriffs zu werden, muss man jedoch auf einen manipulierten Link klicken.

Dass man XSS-Lücken aber nicht auf die leichte Schulter nehmen sollte, zeigt auch der kürzlich gemeldete Einbruch in Server der Apache Software Foundation. Auch dort fing der sehr zielgerichtete Angriff mit einer XSS-Lücke an; auch dort klickten erfahrene Administratoren auf manipulierte Links.

quelle : heise.de

Microsoft hat eine Sicherheitslücke im Internet Explorer unter Windows XP bestätigt, durch die Angreifer ein System kompromittieren können. Die Lücke beruht laut Bericht auf der Möglichkeit der VBScript-Funktion MsgBox, beliebige Hilfe-Dateien (.hlp) von Netzwerkfreigaben nachzuladen und mit darin enthaltenen Makros beliebige Befehle auszuführen. Allerdings ist ein wenig Nutzerinteraktion notwendig: Der Anwender muss zur Bestätigung die F1-Taste drücken. Ob dies im Zweifel einen Anwender in der Praxis vor einer Infektion seines PCs bewahrt, ist fraglich – der Text der kleinen Message-Box könnte ihn durchaus dazu verleiten.