Ein neues Jahr liegt vor uns und die ersten Patche damit auch. Zur Überraschung aller hat Microsoft vier für diesen Patchtag bereits angekündigte Patches ohne Angabe von Gründen wieder zurückgezogen, obwohl sie teilweise als kritisch eingestufte Sicherheitslücken stopfen sollten. Hoffen wir mal, das da die verbesserte Qualitätskontrolle zugeschlagen hat und uns halbherzig implementierte Fixes ersparen will. Was bleibt uns jetzt noch an Patchen im Januar? Immerhin vier Stück, die offizielle Zusammenfassung gibt es hier: Security Bulletin Januar 07 Die Kurzübersicht startet mit MS07-002 Stopft ganze fünf Lücken in Excel (Versionen 2000 SP3 bis 2003 Sp2) und Works (Versionen 2004/2005). Alle erlauben das Ausführen von Schadcode bereits beim Öffnen von Excel Dateien, der Patch gehört damit wohl zum Pflichtprogramm. MS07-003 Outlook(nicht Outlook Express!) wird hiermit von drei Lücken befreit. Eine führt zu einem dauerhaften Absturz von Outlook, bis die entsprechende Mail mit einem anderen Programm vom Server gelöscht wird, die anderen beiden bringen Schadcode zur Ausführung. Einmal patzt Outlook bei der Verarbeitung von Kalenderdaten, das andere Mal, wenn .oss Dateien von einer Webseite geladen werden. Laut MS ist es nicht möglich, die letztere Lücke per Mail auszunutzen. MS-07-004 Endlich einmal wieder ein Patch für alle Benutzer von aktuellen Windows Versionen(ausgenommen die wenigen Vista User). Die VML Implementation von Windows ist fehlerhaft und erlaubt einen Buffer Overrun. Der Besuch einer Webseite reicht bereits aus, um Schadcode zur Ausführung zu bringen. Und weil sich die Browser aus dem Hause MS, inklusive des aktuellen IE7, auf die vom OS mitgelieferten Mechanismen verlassen, sind sie alle auf diesem Wege angreifbar. Inwieweit sich alternative Browser eigener Routinen zum Rendern von VML Dateien bedienen, ist mir derzeit nicht bekannt, es ist jedoch anzunehmen, dass sie ebenfalls auf die Bordmittel zurückgreifen. Daher ist dieser Patch Pflicht. Und das war es fürs Erste. Ach ja, natürlich gibt es auch eine neue Version des "Tools zum Entfernen bösartiger Software".
|
|||