(am) – Ein Angreifer kann Sicherheitsmechanismen umgehen und sonst nicht angreifbare Lücken ausnutzen. Betroffen sind Virtual PC 2007, Windows Virtual PC und Virtual Server 2005. Microsoft will das Problem erst mit einem künftigen Service Pack beheben.

Das Sicherheitsunternehmen Core Security Technologies hat vor einer ungepatchten Sicherheitslücke in Microsofts Virtualisierungssoftware Virtual PC gewarnt. Demnach kann ein Angreifer Sicherheitsmechanismen wie Datenausführungsverhinderung (DEP) und Adress Space Layout Randomization (ASLR) umgehen. Dadurch lassen sich Codeanfälligkeiten, die eigentlich nicht ausgenutzt werden können, möglicherweise auf einem virtualisierten Windows-System missbrauchen.

Ein Exploit-Programmierer von Core Security habe die Lücke im Virtual PC Hypervisor entdeckt und im August 2009 an Microsoft gemeldet, heißt es in einer Sicherheitswarnung des Unternehmens. Der Hypervisor ist ein Bestandteil von Windows Virtual PC, das Kunden ermöglicht, mehrere Windows-Umgebungen auf einem Computer auszuführen. Er ist auch eine Kernkomponente des XP-Modus von Windows 7, der die Migration älterer Anwendungen, die Windows XP benötigen, vereinfachen soll.

Weiterlesen

(jp) – Microsoft testet einen Patch gegen Internet-Explorer-Schwachstelle

Derzeit sind Internet Explorer 6 und 7 von einer hoch kritischen Schwachstelle betroffen, die auch schon aktiv ausgenutzt wird. Die anfällige Komponente ist die Bibliothek iepeers.dll. Jerry Bryant vom Microsoft Security Response Center (MSRC) bestätigte gegenüber networkworld.com, dass man bereits fieberhaft an einem Update arbeite.

Unklar ist allerdings, ob der Flicken vor dem nächsten Patchday erscheinen wird. Dieser wäre erst in knapp vier Wochen am 13. April 2010. Microsoft hat allerdings ein „Fix It“-Werkzeug zur Verfügung gestellt. Damit lässt sich die Komponente in der Datei iepeers.dll, welche die Schwachstelle enthält, zumindest deaktivieren. Anwender könnten wahlweise auch ein Update auf Internet Explorer 8 erwägen. Der aktuelle Browser von Microsoft ist nicht anfällig.

Quelle: TEC Channel

(jp) – Bei KB973811 handelt es sich um einen erweiterten Schutz bezüglich der Authentifizierung auf Windows-Plattformen. Die Funktion soll die Integrated Windows Authentication (IWA) verbessern. Dieser Zusatz für Windows XP, Vista und Server 2003 ist allerdings nicht neu. Microsoft scheint aber nachgebessert zu haben und hat die Funktion nochmals veröffentlicht.

SANS findet es seltsam, dass der Flicken nicht im Rahmen des Patchday vom Februar 2010 auftauchte. Microsoft klassifiziert das Update als „non-security upgrade“. Das Upgrade entwhält allerdings eine Abschwächung der Möglichkeit von „Credential Forwarding Attack“. Somit betrifft es sehr wohl die Sicherheit eines Systems. Das Update gibt es für Windows XP, Vista und Server 2003. Windows 7 ist nicht betroffen. Für Windows Server 2008 wurde der Patch ebenfalls neu veröffentlicht.

Quelle: TEC Channel

(vr) – Über eine neue Sicherheitslücke im Microsoft Internet Explorer Version 6 und 7 können Angreifer beliebigen Schadcode einspeisen.

Laut einer Meldung von Microsoft wurde die Sicherheitslücke für alle Versionen des Internet Explorer 6 und 7 bestätigt. Die neuste Version 8 des Internet Explorer ist dem Bericht zu Folge nicht betroffen. Die Sicherheitslücke entsteht durch Objekte, die von Internet Explorer 6 und 7 verwendet und freigegeben wurden. Durch eine gezielte Manipulation dieser Objekte können Angreifer beliebigen Schadcode einspeisen.

Die Verwendung des Protected Mode mindert laut dem Bericht das Risiko eines erfolgreichen Angriffs. Dieser ist bei Betriebssystemen ab Windows Vista Standardeinstellung für den Internet Explorer. Ein Patch wird die nächsten Tage erwartet.

Quelle: TEC Channel

(am) – Acht Sicherheitslücken in Windows und Office will Microsoft in der nächsten Woche stopfen.

Für den anstehenden Patchday hat Microsoft zwei Updates angekündigt, eines für Windows und eines für Office. Beide tragen die Einstufung important.

Details zu den Sicherheitslücken, acht an der Zahl, gibt es wie üblich erst mit Veröffentlichung der Updates, so dass einstweilen nur die betroffenen Programmversionen bekannt sind. Die Windows-Lecks sind in Windows XP, Vista und Windows 7 zu finden. Die Office-Lecks in Office XP, 2003 und 2007 sowie auf dem Mac Office 2004 und 2008. Auch der Open XML File Format Converter for Mac und das Microsoft Office Compatibility Pack haben Sicherheitslücken, dazu der Excel Viewer und Sharepoint Server 2007.

Für das Anfang der Woche aufgetauchte Leck im Internet Explorer, über das mit VBScript Hilfedateien aufgerufen werden können, die Code enthalten, gibt es kein Update. Man habe aber auch noch keine Angriffe auf dieses Leck entdeckt, beruhigt Microsoft.

Quelle: PC Professionell

(am) - Das neue Update prüft vor der Installation verschiedene Systemdateien auf Veränderungen. Zudem erkennt ein Fix-it-Tool mögliche Kompatibilitätsprobleme. Microsoft arbeitet weiterhin an einer Lösung zur Entfernung des Alureon-Rootkits.

Microsoft hat das im Februar zurückgezogene Update für eine 17 Jahre alte Sicherheitslücke in Windows überarbeitet und die neue Version zum Download bereitgestellt. Unter Windows XP löste der ursprüngliche Patch auf Computern, die mit einem Rootkit infiziert waren, wiederholte Neustarts aus. Die neue Version MS10-015 enthält eine Routine, die vor einer Installation nach Anzeichen des Alureon-Rootkits sucht.

“Wenn ungewöhnliche Veränderungen an bestimmten Dateien des Betriebssystems entdeckt werden, scheitert das Update und es wird eine Fehlermeldung mit weiteren Support-Informationen angezeigt”, schreibt Microsoft-Sprecher Jerry Bryant in einem Blogeintrag. Microsoft wolle betroffenen Kunden dabei helfen, das Problem zu lösen.

Weiterlesen

(jp) - Microsoft hat vor einer Sicherheitslücke in der Windows-Hilfe gewarnt, die mittels VBScript über den Internet Explorer unter Windows XP ausgenutzt werden kann. Nutzer von Windows 7, Vista, Server 2008 und Server 2008 R2 sind nicht betroffen. Die Schwachstelle ermöglicht das Einschleusen und Ausführen beliebigen Schadcodes.

Ein Angreifer muss dafür sein Opfer auf eine manipulierte Website locken und beispielsweise mithilfe eines Pop-up-Fensters dazu bringen, mit der F1-Taste die Windows-Hilfe aufzurufen. Microsoft-Sprecher Jerry Bryant erklärte, dass bisher kein Exploit für die Codeanfälligkeit im Umlauf sei.

Die Schwachstelle wurde am Freitag, zusammen mit einem Proof-of-Concept, von iSEC Security Research veröffentlicht. Einem Advisory der Sicherheitsforscher zufolge ist der Fehler seit Februar 2007 bekannt. Microsoft kritisiert in einem Blogeintrag, dass iSEC die Lücke nicht vorab vertraulich gemeldet hat.

“Nach Abschluss unserer Untersuchungen werden wir alle nötigen Schritte einleiten, um unsere Kunden zu schützen”, schreibt Bryant im Blog des Microsoft Security Response Center. Er nennt aber keinen Zeitplan für die Veröffentlichung eines Updates. Der nächste reguläre Patchday ist der 9. März.

Quelle: ZDNet

(am) - Microsoft hat noch mal erinnert, dass die Unterstützung für diverse Windows-Systeme bald abläuft.

Bereits im Jahre 2008 kündigte Microsoft das Ende der Lebenszyklen für Windows Vista RTM, XP SP2 und 2000 an. Da es nun bald so weit ist, erinnert die Firma aus Redmond abermals daran. Ab 13. Juli 2010 gibt es keine Sicherheits-Updates mehr für Windows XP SP2 und alle Windows-2000-Versionen. XP-Anwender sollten bis dahin Service Pack 3 installiert haben. Windows-2000-Benutzern rät Microsoft zu einem Upgrade auf Windows 7. Am 13. Juli 2010 gehen Windows Server 2003 und Windows Server 2003 R2 in die erweiterte Support-Phase. Für nicht zahlende Kunden wird es dann nur noch Sicherheits-Updates geben. Die erweiterte Unterstützung der beiden Server-Systeme läuft bis zum 14. Juli 2015.

Am 13. April 2010 endet die Unterstützung für Windows Vista RTM (Release to Manufacturing). Es handelt sich hier um die erste Version, die vor zirka drei Jahren ausgeliefert wurde. Um weiterhin Sicherheits-Updates zu erhalten, sollen Anwender Service Pack 1 oder 2 installieren.

Quelle: TEC Channel

(jp) – Mit richterlicher Anordnung wurde die Mehrzahl der mutmaßlichen Kommandoserver vom Netz genommen. Microsoft hat “Operation b49″ monatelang vorbereitet. Mit den gesammelten Daten wurden dann die Richter von der Maßnahme überzeugt.

Microsoft geht mit Hilfe seiner Rechtsabteilung verstärkt gegen das Botnetz Waledac vor. Auf seinen Antrag hin hat ein US-Bundesrichter verfügt, dass 227 Internetserver abgeschaltet werden müssen, die mutmaßlich von den Kriminellen hinter dem illegalen Rechnerverbund betrieben werden. Das schreibt Microsoft-Jurist Tim Cranton im Unternehmensblog.

Microsofts Vorgehen sei monatelang durch Nachforschungen vorbereitet worden, heißt es in dem Blog. Der interne Name lautete “Operation b49″. Die Anwälte des Softwareherstellers setzten dann auf ein juristisches Konstrukt namens “Ex parte TRO”. “Ex parte” bedeutet ohne Benachrichtigung der Gegenseite, TRO ist im US-Gesetz eine “Temporary Restraining Order” – ähnlich der “einstweiligen Verfügung” in Deutschland. Eine solche Ex-parte-Anordnung ist allerdings nur in äußerst schweren Fällen durchsetzbar.

Weiterlesen

(jp) – Online-Kriminelle missbrauchen den Namen des kostenlosen Microsoft-Tools als Tarnung für ein betrügerisches Antivirusprogramm namens Security Essentials 2010.

Nach der Beerdigung seiner Antivirus-Software Onecare hat Microsoft im letzten Jahr das Gratis-Tool Microsoft Security Essentials (MSE) heraus gebracht. Online-Kriminelle benutzen diesen Namen nun für ein betrügerisches Schutzprogramm, so genannte Scareware.

Im Blog der PandaLabs des spanischen Antivirusherstellers Panda Security berichtet ein Malware-Forscher namens Olaiz über das Scareware-Programm Security Essentials 2010. Im Gegensatz zu Microsofts Original ist es nicht nur unfähig irgendeinen echten Schädling zu entdecken, es nötigt den Benutzer auch zum Erwerb einer ebenso nutzlosen, aber knapp 50 US-Dollar teuren Vollversion.

Weiterlesen