Am März-Patchday hat Microsoft wie angekündigt zwei als wichtig eingestufte Security Bulletins veröffentlicht, mit denen insgesamt acht zuvor nicht bekannte Schwachstellen behoben werden. Außerdem wurde ein Security Advisory zu einer 0-Day-Schwachstelle im Internet Explorer veröffentlicht, die bereits für gezielte Angriffe ausgenutzt wird.

0-Day-Schwachstelle im IE

Die kritische Schwachstelle zuerst: Microsoft untersucht eine 0-Day-Schwachstelle im Internet Explorer 6 und 7, die die Ausführung beliebigen Codes erlaubt und die bereits für gezielte Angriffe ausgenutzt wird.

Ursache ist eine Use-after-Free-Schwachstelle, unter bestimmten Umständen kann auf einen Pointer zugegriffen werden, nachdem das zugehörige Objekt gelöscht wurde. Betroffen sind nur Version 6 SP1 unter Windows 2000 SP4 sowie Version 6 und 7. Version 5.01 SP unter Windows 2000 SP4 und Version 8 sind nicht betroffen.

Als Workarounds können

• die Einstellungen der Access Control List (ACL) für die Datei iepeers.dll angepasst,
• die Sicherheitseinstellungen für das Internet und das lokale Intranet auf "hoch" gesetzt,
• die Rückfrage vor dem Ausführen aktiver Inhalte eingeschaltet und
• DEP für den Internet Explorer 6 SP2 und 7 aktiviert werden. Für letzteres steht ein Online-Tool zur Verfügung.

Der beste Schutz besteht allerdings im Wechsel des Browsers. Entweder zu einem komplett anderen Browser (wobei es auch in Opera zur Zeit eine offene Schwachstelle gibt, die das Ausführen von Code erlaubt), oder zum IE 8, der von der aktuellen Schwachstelle nicht betroffen ist.

Ob die Schwachstelle im Rahmen eines normalen Patchdays behoben oder ob ein Patch außerplanmäßig veröffentlicht wird, wird von Microsoft nach dem Abschluss der Untersuchungen entschieden.

Zwei Security Bulletins veröffentlicht

Das Security Bulletin MS10-016 ist für eine Pufferüberlaufschwachstelle im Windows Movie Maker 2.1, 2.6 und 6.0 für Windows XP, Vista und 7 sowie im Microsoft Producer 2003 zuständig. Sie erlaubt die Ausführung beliebigen Codes, wenn eine entsprechend präparierte Projektdatei geöffnet wird. Die Entdecker der Schwachstelle von Core Security haben ein eigenes Advisory veröffentlicht.

Es stehen nur Patches für den Windows Movie Maker zur Verfügung. Um Angriffe über den Microsoft Producer zu verhindern, kann das Programm deinstalliert, der Zugriff darauf verboten oder die zugehörigen Dateizuordnungen über einen Online-Fix entfernt werden.

Das Security Bulletin MS10-017 beschreibt sieben Schwachstellen in Excel, alle erlauben die Ausführung beliebigen Codes, wenn eine entsprechend präparierte Datei geöffnet wird. Betroffen sind Excel 2002, 2003 und 2007 für Windows, Microsoft Office 2004/2008 for Mac sowie einige Zusatzprogramme. Core Security und die Zero Day Initiative (ZDI) haben für je eine der Schwachstellen ein eigenes Advisory veröffentlicht.

Bewertung der Schwachstellen

Ein Eintrag im Blog des Microsoft Security Response Center (MSRC) liefert einen Überblick über die Schwachstellen. Für die Pufferüberlauf-Schwachstelle im Movie Maker und Producer sowie fünf der sieben Schwachstellen in Excel wird in den nächsten 30 Tagen mit funktionsfähigen Exploitcode gerechnet, man sollte sich mit der Installation der Updates also nicht zu viel Zeit lassen.

Die übliche Übersicht über die Security Bulletins im Handler's Diary des ISC weicht wie üblich in einem Fall von Microsofts Einstufung ab: Die von Microsoft nur als wichtig eingestuften Patches für Excel werden vom ISC als für Clients kritisch eingestuft. Das ist verständlich, da nur wenig Social Engineering ausreicht, um einen Benutzer zum Öffnen einer z.B. per Mail zugeschickten Excel-Datei zu bewegen. Und Excel-Dateien wurden 2009 sowie im Januar und Februar 2010 immerhin noch in gut 7% aller gezielten Angriffe als Angriffsvektor verwendet.

Fazit

Wie immer gilt: Installieren Sie die Updates so schnell wie möglich. Diesmal kommt das Anwenden eines Workarounds für die Schwachstelle im Internet Explorer hinzu, wobei der beste Schutz im Wechsel des Browsers besteht. Die Schwachstelle wird zwar zur Zeit nur für gezielte Angriffe ausgenutzt, erfahrungsgemäß wird der Exploitcode aber bald veröffentlicht, so dass er dann auch z.B. im Rahmen von Drive-by-Infektionen zum Einsatz kommen wird.

Carsten Eilers

Übersicht der Meldungen auf 'Security aktuell':

• Internet Explorer
• MS10-016: Microsoft Windows Movie Maker
• MS10-016: Microsoft Producer
• MS10-017: Excel