Cum. Patch für MS IE 6, 5.5, 5.01 - Februar 2003

#1 http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-004.asp

Zitat

Microsoft stellt für den Internet Explorer einen neuen Sammelpatch zur
Verfügung, der zwei bislang nicht behobene Schwachstellen beseitigt

Betroffene Systeme
* Microsoft Internet Explorer 5.01
* Microsoft Internet Explorer 5.5
* Microsoft Internet Explorer 6.0

Einfallstor
Arglistige Webseite bzw. HTML-Dokument (z.B. HTML-E-Mail)

Auswirkung
Ausführung beliebigen Programmcodes mit den Privilegien des
Internet-Explorer-Benutzers
(remote user compromise)

Typ der Verwundbarkeit
Verstoß gegen die same origin policy

Gefahrenpotential
hoch
(Hinweise zur [1]Einstufung des Gefahrenpotentials.)

Beschreibung
Der nun von Microsoft zur Verfügung gestellte Sammelpatch behebt zwei
bislang nicht korrigierte Schwachstellen bzgl. des Cross-Domain
Sicherheitsmodells. Eine Schwachstelle betrifft die unsichere
Behandlung von Dialogboxen, die andere die Windows Hilfsfunktionalität
"windows.showHelp()"

Der vorliegende kumulative Patch verhindert die Ausführung von
"windows.showHelp()", wodurch HTML-Hilfsseiten unter Umständen nicht
mehr angezeigt werden. Eine überarbeitete Version dieser Funktion, die
eine restriktiv eingeschänkte Nutzung (wieder) ermöglicht, stellt
Microsoft lediglich über Windows Update als "HTML Help update
(811630)" zur Verfügung

Gegenmaßnahmen
Microsoft stellt einen Sammelpatch zur Verfügung:
* [2]http://www.microsoft.com/windows/ie/downloads/critical/810847/d
efault.asp

Der IE 5.01 Sammelpatch kann auf Windows 2000 Service Pack 3 Systemen
installiert werden. Der Patch für den IE 5.5 erfordert den
installierten IE 5.5 Service Pack 2. Der Patch für den IE 6.0 kann auf
Systemen mit oder ohne Service Pack 1 für den IE 6.0 installiert
werden. Nach der Installation des Sicherheitsupdates ist ein Neustart
des Systems erforderlich

Hinweis: Auch mit diesem Sicherheitsupdate gibt es nach wie vor
bekannte Schwachstellen im Internet Explorer, wodurch arglistige
Webseiten beliebige lokale Dateien auslesen und Programmcode ausführen
können

Vulnerability ID
* [3]CAN-2003-1326 Improper Cross Domain Security Validation with
dialog box
* [4]CAN-2003-1328 Improper Cross Domain Security Validation with
ShowHelp functionality

Weitere Information zu diesem Thema
* [5]Microsoft Security Bulletin MS03-004 Cumulative Patch for
Internet Explorer (810847)

Aktuelle Version dieses Artikels
[6]http://CERT.Uni-Stuttgart.DE/ticker/article.php?mid=1073

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der
Universität Stuttgart recherchiert und zusammengestellt. Die
Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte
Dieser Artikel darf ausschließlich in unveränderter Form und nur
zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis
veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen
an anderer Stelle ist ausdrücklich gestattet

Copyright © 2003 RUS-CERT, Universität Stuttgart,
[7]http://CERT.Uni-Stuttgart.DE/

References

1. http://CERT.Uni-Stuttgart.DE/ticker/charta.php#Gefaehrdungsstufen
2. http://www.microsoft.com/windows/ie/downloads/critical/810847/default.asp
3. http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-1326
4. http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-1328
5. http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-004.asp
6. http://CERT.Uni-Stuttgart.DE/ticker/article.php?mid=1073
7. http://CERT.Uni-Stuttgart.DE/

----------------------------------------------------------------------

Weitere Nachrichten: http://CERT.Uni-Stuttgart.DE/ticker/
Kommentare & Kritik bitte an Autoren@Lists.CERT.Uni-Stuttgart.DE

__________
Durchsuchen --> Aussuchen --> Untersuchen

#2 für den Februar Patch gibts nun einen neuen Patch

der den Februar Patch patch

http://www.microsoft.com/windows/ie/downloads/critical/813951/default.asp

Gruß Isnogod