Kritisches Sicherheitsleck: Vista kann durch animierten Cursor zum Absturz gebracht werden!
03.04. Offizieller Patch verfügbar!
Abgelegt unter: Sicherheit
30. März 2007 – 09:25
Mit einer gestern veröffentlichten Sicherheitswarnung weist der Antiviren-Spezialist McAfee auf ein kritisches Sicherheitsleck in Windows hin, das bereits mit dem Security Bulletin MS05-002 im Januar 2005 als gestopft galt.
Zwischenzeitlich hat Microsoft in einer eigenen Security-Meldung die Schwachstelle bestätigt und erklärt, es werde demnächst – vermutlich zum kommenden Patchday – ein Sicherheitsupdate geben, mit dem das Loch geschlossen werde.
Nach Angaben von McAfee wird die Angriffsmöglichkeit, die auch Windows Vista betrifft, aktiv ausgenutzt. Anwender sollten als vorübergehende Sicherheitsmaßnahme keine eMail-Nachrichten aus unbekannten Quellen öffnen bzw. den Mailclienten so konfigurieren, dass Nachrichten lediglich im Textformat angezeigt werden.
Bei der Verarbeitung von ANI (animierte Cursor)-Dateien kann es zu einem Pufferüberlauf kommen, den ein Angreifer nutzen kann, um den Rechner zu übernehmen. Da auch Webseiten mit eigenem Cursor ausgestattet sein können, ermöglicht diese Lücke auch den Angriff über speziell manipulierte Webseiten. Zudem könnte eine präparierte eMail, die Bilder enthält, einem Widersacher ermöglichen in ein System einzudringen.
Wenn Vista den Crash eines Programms feststellt, versucht es zunächst wichtige Daten zu sichern und danach die Applikation neu zu starten.
Eine vorbereitete Cursor-Datei einer entsprechend bearbeiteten Webseite kann aber, wie McAfee in einem Video am Beispiel des Windows Explorer zeigt, einen Absturz provozieren und das System so durch eine Dauerschleife ins “Trudeln bringen.
Wie der bereits seit langem gefixte Fehler in Windows erneut auftreten kann, ist bislang unklar. Ich vermute, dass beim Patchen der vielen Windows-Lücken innerhalb der vergangenen Monate “gepfuscht” wurde und das Loch versehentlich erneut aufgerissen worden ist.
Update 30. März 2007 – 13:00
Wie schon häufiger in der Vergangenheit, haben die Spezialisten von eEye schnell reagiert und einen inoffiziellen Patch veröffentlicht, der die sogenannte ANI-Zero-Day-Schwachstelle schließt.
Nach Aussage der Entwickler sperrt der Fix das Laden von Cursor-Dateien, die von außerhalb der Variable %SystemRoot% kommen. Infolgedessen haben entsprechend vorbereitete Web-Seiten, mit deren Hilfe durch das Einschmuggeln eines präparierten Cursor das Leck ausgenutzt werden soll, keine Gelegenheit das System anzugreifen.
Download
eEye Digital Security Patch
Update 03. April 2007 – 13:00
Mit einem umgehend zur Verfügung gestellten Sicherheitsupdate hat Microsoft die Schwachstelle heute geschlossen.
Mehr zu dem außerordentlichen Patchday und den Download-Link der Sicherheitsaktualisierung finden Sie in meinem Blog-Beitrag vom 03.04.2007.
Ähnliche Beiträge:
@kaptain Ma$e, du bestätigst genau das was henrie b. geschrieben hat..
seit anfang Janur nutz ich Vista als standard sys, XP gibts bei mir garnicht mehr.. und es läuft ohne probleme.. eh und jeh.. selbst zocken geht problemlos =) das neue C&C3 läuft einfach nur genial =)
bei mir läuft Vista ohne Probleme. Keine abstürze
Hi leutz..
also ich halte nix von vista, sich das noch hinzu-zuschaffen ist auch komplett übertrieben, vorallem bei den hohen preisen.Mein xp wird mich weiterhin nicht im stich lassen für die nexten 2 jahre!
Hallo!!
Vista läuft bei mir seit gut 8 Wochen ohne Probleme und Abstürze.
Es heisst doch immer das die größte Sicherheitslücke/Gefahr vor dem Rechner sitzt.
Mancher Kommentar hier bestätigt das in bestechender Weise
bevor man sich hier über vista auslässt, sollte man dieses bs auch nutzen! das scheinen ja offensichtlich die wenigsten zu tun, zumindest laut deren aussage; ist wie mit der bildzeitung, keiner liest sie, aber alle wissen was drin steht.
nutze seit geraumer zeit vista home premium…und bin immer noch zufrieden :-))
Also ich fand vist als ich es in der beta 2 hatte a nich so toll aber 1 woch hab ich mir dann für meinen heimrechner home premium gekauft da sich mein xp nur noch aufgehängt hat und siehe da alles bis auf die soundtreiber (hab ne x-fi platinum) ging alles wunderbar. Nun hab ich vor 1 woche mein neues hp compaq notebook mit vist business bekoomen und da funzt alles top und es stürzt fast nie was ab und wenn fängt es sich gleich wieder. Und noch ein tipp wenn ihr euch vista kaufen wollt nehmt die SB variante. Kostet nur ein drittel und wer hat schon mal jemals den ms suport genutzt, also ich nicht.
also von mir volle kauf empfehlung und 100€ für die home premium (SB) sind ja nich so viel. Und zum thema sicherheit spielt euch ein gescheites antivir. programm trauf. Ich hatte mit der sicherheit noch keine Probs.
Hallo
Ich habe seit 5 Wochen Vista Business auf meinem Rechner laufen, habe mit XP viel mehr Probleme am Anfang gehabt wie mit Vista.
Musste damals mir noch einen neuen Scanner kaufen weil für XP kein Treiber geliefert werden konnte. Von dieser Seite her ist Vista einfach unschlagbar.Von der Sicherheit her hatte ich mit XP nie ein Problem und mit Vista werde ich wohl noch weniger ein Problem haben.
Viele Leute haben keinen vernüftigen Virenschutz
@Bernhard: Erst RICHTIG informieren, dann denken, dann schreiben!
Vista verkauft sich besser als erwartet, es gibt genug von den Irren, die stets das neueste haben wollen oder müssen.
Durch solche Buden wie den Saftladen Dell, die einem Vista zwangsweise aufdrängen (XP nur noch gegen Aufpreis) wird das auch noch gefördert!
Mehrere Windows-BS nebeneinander gibt es schon lange. 98SE/ME , von den NT-Systemen neben den SoHO-Systemen mal ganz abgesehen.
Vista taugt nichts, genau wie die
Windows-Versionen davor. XP reicht,
Vista ist unnötig. So wird dem User
mittels Zwangsinnovation Geld aus der
Tasche gezogen. Microsoft hat es nie
anders gemacht und wird es auch nie
anders machen. Windows gehört Microsoft.
Aber der Zwang besteht weiter, da ja
ohne Windows nicht viel läuft. Man muß
Windows haben, sonst ist man benachteiligt. Bei Vista hat es schon Einbrüche gegeben, es kommt nicht gut an. Und noch nie wurden
zwei verschiedene Windows-Versionen zeitgleich angeboten, XP und Vista.
Ob Microsoft jemals etwas dazu gelernt hat?
Ich verstehe die ganze Aufregung nicht. Es mag ja richtig sein, dass Vista mehr als genug Kinderkrankheiten hat. Doch ist es absolut daneben, zu einem Zeitpunkt, an dem das für Sommer/Herbst geplante SP1 noch nicht wirklich in Sicht ist, über ein zweites SP zu spekulieren.
Wer sagt denn, dass ein SP2 jemals erscheinen wird?
Die Sprüche zu SP2 sind also hirnlose Propaganda, die den unbedarften Vista-Interessenten bestenfalls verunsichern.
Einfacher ausgedrückt: Müll mit dem Ziel, mögliche Vista-Käufer vom Erwerb einer Lizenz abzuhalten!
Für wie blöd haltet ihr den Windows-Anwender eigentlich?
@Sven A.
Zitat:
“Kauft Euch Vista erst mit dem ersten Service Pack 2”
*lol* Ja sicher nach dem SP2 kommt dann das erste SP für das SP2
Also ich würde warten bis Wilhelm Heinrich Tor das SP4 für SP2 persönlich bei jedem einzelnen User einspielt :-)
Naja ich fand das SP2 bei XP am anfang nicht sogut, das hatte auch so seine Kinderkrankheiten, sowie Vista jetzt. Ich würde es mir erst Ende des Monats holen wenn überhaupt.
Ich würde allen Leuten nur empfehlen. Kauft Euch Vista erst mit dem ersten Service Pack 2. Siehe XP auch da wurde das System erst dann wirklich verwendbar!
Ja, genau dann installier Dir halt ein LINUX, viel Spass damit, wennst dann da mal nen Patch oder ein Update brauchst.
Windows Vista ist einfach Pfusch.
Aber ist doch arm, dass ein inoffizielles Patch kommt und kein Microsoft Patch. Kunderservice und Kundensicherheit wird hier wohl ganz groß geschrieben.