Sicherheitsloch im IE bei SSL Code

#1 Microsoft: SSL-Sicherheitsloch im Internet Explorer
München (ss/mb) – In der Bugtraq-Maillingliste der Website "Securityfocus.com", einer der führenden Seiten für Sicherheitsfragen im Internet, wurde gestern über ein potentielles Sicherheitsloch im SSL-Code der aktuellen Versionen des Internet Explorers berichtet.

Demnach lässt der Browser einen Schritt bei der Prüfung von SSL-Zertifikaten aus. SSL-Zertifikate bieten die Möglichkeit, anstatt einer "offiziellen" eine lokale Signatur zu verwenden. Die dabei notwendige Prüfung findet aber nicht statt. So soll es möglich sein, mit einer gültigen lokalen Signatur Zertifikate für beliebige Webseiten auszustellen.

Wie das Online-Magazin "The Register" herausfand, ist auch der Linux-Browser Konqueror 3.0 (KDE 3.0.2, SuSE 8.0) betroffen. Mozilla hingegen führt die Prüfungen korrekt aus.

CHIP Online meint:
Sollten sich die Befürchtungen bestätigen, wäre dies eine Katastrophe, denn fast alle Websites weltweit verlassen sich bei E-Commerce-Transaktionen auf die Sicherheit von https.

Info: www.securityfocus.com

thx Tank@CCB für die News

Isnogod

#2 Für KDE 2.2.x gibt es inzwischen einen Patch: http://download.kde.org/Attic/2.2.2/src/post-2.2.2-kdelibs-kssl.diff Gepatches Binaries für 3.0.3 soll es bis nächste Woche geben.

R.
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#3 1. Reaktion von MS:

Alles halb so schlimm!
---> http://www.intern.de/news/3312.html

R.
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#4 Dieser Verein gehört echt verboten!
Für alle Interessierten:
Hier gibt es eine, nicht mehr ganz aktuelle, Abhandlung über die Geschichte von Microsoft.
__________
Bitte keine Anfragen per PM, diese werden nicht beantwortet.

#5 Von MS wurde inzwischen bekanntgegeben, daß es sich nicht um einen Fehler im IE handelt, sondern daß APis des Betriebssystems davon betroffen sind. Somit wird es wohl bald einen neuen Patch geben.

Hier noch ein Proof-of-Concept für diese Lücke: http://www.thoughtcrime.org/ie.html

R.
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#6 Nun hat auch Microsoft einen Patch für die Problematik bereitgestellt - für fast alle Systeme:

Microsoft Windows 98:
http://www.microsoft.com/windows98/downloads/contents/WUCritical/q328145/default.asp
Windows 98 Second Edition:
http://www.microsoft.com/windows98/downloads/contents/WUCritical/q328145/default.asp
Windows Me:
http://download.microsoft.com/download/WINME/PATCH/25386/WINME/EN-US/328145USAM.EXE
Windows NT 4.0:
http://www.microsoft.com/ntserver/nts/downloads/critical/q328145/default.asp
Windows NT 4.0 Terminal Server Edition:
http://www.microsoft.com/ntserver/terminalserver/downloads/critical/q328145/default.asp
Windows 2000:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=42431
Windows XP and Windows XP 64 Bit Edition:
http://www.microsoft.com/windowsxp/pro/downloads/q328145.asp

Microsoft Office v.X for Mac:
To be released shortly
Microsoft Office 2001 for Mac:
To be released shortly
Microsoft Office 98 for the Macintosh:
To be released shortly
Microsoft Internet Explorer for Mac (for OS 8.1 to 9.x):
To be released shortly
Microsoft Internet Explorer for Mac (for OS X):
To be released shortly
Microsoft Outlook Express 5.0.5 for Mac:
To be released shortly

Siehe auch: http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/ms02-050.asp
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...