[Security Hole] Microsoft Outlook + Express

#1 Datum : 21.05.2003
Vulnerability :Microsoft Outlook Express 4.x, 5.x und 6 sowie Microsoft Outlook 98 und 2000
CVE

http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS00-046.asp

Microsoft Outlook Express ist ein umfassender Mail-Client für die Windows-Betriebssysteme. Er ist vor allem bei Privatanwendern aufgrund seiner Einfachheit und weil er bei den modernen Windows-Systemen direkt mitgeliefert wird, sehr beliebt. Zeigt Outlook Express eine speziell formatierte HTML-Nachricht an, kann ein Angreifer automatisch Dateien herunterladen, interpretieren oder ausführen lassen. Sodann lassen sich weitere Angriffe (z.B. Denial of Service oder das Installieren einer Hintertür) umsetzen. Der Aufbau eines möglichen Exploits und der Link zu einem Beispiel wurden im Bugtraq-Posting publiziert. Dies Schwachstelle wurde erstmals am 20. Juli 2000 in einem Microsoft Security Bulletin (MS00-046, Patch Available for 'Cache Bypass' Vulnerability) für Microsoft Outlook Express 4.x und 5.x sowie Microsoft Outlook 98 und 2000 festgehalten. Der gleiche Fehler konnte nun auch in Microsoft Outlook Express 6 nachgewiesen werden. Um zu verhindern, dass zum Beispiel Dateien automatisch mit dem Microsoft Windows Mediaplayer interpretiert werden, sollte man im Mediaplayer das Scripting deaktivieren. Im Bugtraq-Posting wird darauf hingewiesen, dass man Emails unbekannter Herkunft nicht anzeigen bzw. öffnen soll. Microsoft wird sehr wahrscheinlich mit einem Patch reagieren. Es scheint, als sei Microsoft vor der Publikation auf Bugtraq nicht über die Schwachstelle in der jüngsten Outlook Express Version informiert worden.

Die Unschönheit dieser Schwachstelle kann nicht bestritten werden. Aber auch das Advisory ansich weist eine Unschönheit auf: Microsoft wurde nicht frühzeitig über das Vorhandensein der Schwachstelle in der jüngsten Outlook Express Version informiert - Stattdessen wurde mit der Sicherheitslücke direkt an die Öffentlichkeit gegangen. Das Zeitfenster, bis für diese Sicherheitslücke ein Patch herauskommt, ist also unweigerlich länger. Das anonyme Posting hatte, so scheint es, als einziges Ziel, Microsoft zu denunzieren. Uns, den Benutzern, ist damit nicht gedient, denn wir sind nun die kommenden Tage oder Wochen potentiellen Attacken ausgeliefert. Man hätte diese Sache sicher professioneller angehen können.

Quelle : scip AG
__________
http://linux.regionnet.de/ - http://www.pf-lug.de/ - http://www.4logistic.de/ - http://www.pfenz.de