- Offizieller Beitrag
Sicherheitslecks von Microsoft im Dreier-Pack
Windows NT 4.0, 2000, XP, SQL-Server 2000 und IIS 4.0 sowie 5.0 betroffen
Mit einem Schlag informierte Microsoft jetzt über drei aktuelle Sicherheitslücken in verschiedenen Microsoft-Produkten. Die Sicherheitslöcher betreffen Windows NT 4.0, 2000, XP, den SQL-Server 2000 sowie den Internet Information Server (IIS) 4.0 und 5.0. Zwei Lecks werden von Microsoft als moderate Gefahr eingestuft, während die dritte Lücke in Windows NT 4.0, 2000 und XP als kritisch eingeordnet wird. Für alle drei Sicherheitslöcher bietet Microsoft passende Patches an.
Als größte Gefahr stuft Microsoft das Sicherheitsloch im Remote Access Service (RAS) ein, worüber Windows NT 4.0, 2000 und auch XP die Telefon-Einwahl ins Internet oder zu anderen Computern ausführen. Das eigentliche Sicherheitsleck steckt dabei im RAS-Telefonbuch, worin Informationen über Telefonnummern, Sicherheits- und Netzwerk-Einstellungen abgelegt sind. Ein Angreifer kann einen Buffer Overrun ausführen und so einen System-Absturz provozieren oder beliebige Programme auf dem betreffenden System ausführen.
Die zweite Sicherheitslücke betrifft den XML-Datentransfer von und zum SQL-Server 2000 und besteht eigentlich aus zwei Risiken. Ein ungeprüfter Puffer in einer ISAPI-Erweiterung gestattet einem Angreifer, beliebigen Programmcode auf Microsofts Internet Information Server auszuführen. Ein zweites Risiko steckt im XML-Tag, worüber ein Angreifer Scripte mit höheren Rechten auf dem befallenen System ausführen kann.
Das dritte Sicherheitsleck steckt im Internet Information Server (IIS) der Versionen 4.0 und 5.0. Über einen Buffer Overrun in den ISAP-Erweiterungen können Angreifer beliebigen Programmcode auf dem Server starten oder eine Fehlfunktion des Servers provozieren.
Microsoft bietet für alle jetzt bekannt gewordenen Sicherheitslücken passende Patches an - bei Bedarf auch in deutscher Sprache. So stehen Windows-Patches für Windows NT 4.0, NT 4.0 Server Edition, 2000 sowie XP und das 64 Bit Windows XP bereit. Auch für den SQL-Server bietet Microsoft drei unterschiedliche Patches an: Einmal für den SQL-Server 2000, den SQL-Server 2000 mit SQLXML Web Release 2 sowie den mit SQLXML Web Release 3. Schließlich bleiben noch zwei Patches für den Internet Information Server 4.0 und 5.0.