Schlagwort-Archive: patch

Offene MySQL-Sicherheitslücken

Die kommende MySQL-Version 5.1.47 von Oracle soll mehrere wichtige Sicherheitspatches enthalten. Laut Changelog haben die Entwickler drei Sicherheitslücken geschlossen, durch die Angreifer den Server zum Absturz bringen, unbefugten Datenbankzugriff erlangen und schlimmstenfalls beliebigen Schadcode einschleusen und vom Server ausführen lassen könnten. Exakte Versionsangaben zu betroffenen Releases machen die Entwickler nicht.

Der erste Fehler entsteht laut Changelog durch die unzureichende Prüfung des Tabellennamenarguments des COM_FIELD_LIST-Kommandos, sodass ein Angreifer mit DELETE oder SELECT-Rechten in MySQL seit Version 5.1 auf eine beliebige Tabelle unbefugten Lese- und Schreibzugriff auf andere Tabellen tätigen kann.

quelle : heise.de

Share

Kriminelle versuchen ungepatchte Reader-Lücke auszunutzen

Mehreren Berichten von Antivirenherstellern zufolge versuchen Kriminelle, die seit rund zwei Wochen bekannte und bislang ungepatchte Schwachstelle in Adobes Reader auszunutzen, um Windows-PCs zu infizieren. Unter den Schädlingen findet sich auch der als besonders gefährlich eingestufte Bot ZeuS.

Durch die Funktion “Launch Actions/Launch File” lassen sich in PDFs eingebettete Skripte oder EXE-Dateien starten. Der Adobe Reader fragt zwar beim Anwender nach, ob dieser dem Start der Datei zustimmt, allerdings lassen sich Teile des Warndialogs so gestalten, dass der Anwender keinen Verdacht schöpft, es geschehe gerade etwas Ungewolltes. Sophos hat ein Beispiel in seinem Blog veröffentlicht. Dabei soll ein Anwender dazu verleitet werden, den OK-Button anzuklicken. Die präparierten Dokumente gelangen offenbar im Anhang einer Mail auf den Rechner.

quelle : heise.de

Share

Adobe schließt 15 Lücken im Reader und Acrobat

Adobe hat einen Patch für die Programme Reader und Acrobat veröffentlicht, der insgesamt 15 Sicherheitslücken beseitigt. Im schlimmsten Fall konnte ein Angreifer darüber beliebigen Schadcode ausführen.

Mit dem Update führt Adobe auch die Softwareaktualisierungen im Hintergrund ein. Zukünftig werden neue Programmversionen ohne Rückfrage im Hintergrund installiert. Damit soll verhindert werden, dass viele Privatanwender eine alte und damit anfällige Software-Iteration installiert haben. Auf Wunsch kann man dieses Feature in den Optionen aber auch deaktivieren.

quelle : winfuture.de

Share

Patch-Day: Microsoft wird zwei Lücken beseitigen

Am Dienstag findet der allmonatliche Microsoft Patch-Day statt. Nachdem im vergangenen Monat 26 Schwachstellen aus der Welt geschafft wurden, wird der Softwarekonzern in diesem Monat lediglich zwei Sicherheitslücken schließen.

Zwei Updates für Microsoft Office und Windows werden am nächsten Dienstag erscheinen. Die Microsoft-Entwickler stufen diese Schwachstellen als “wichtig” ein. Beim Patch-Day in diesem Monat wird keine als “kritisch” eingestufte Lücke geschlossen.

….

Eine Anfang dieser Woche bekannt gewordene Schwachstelle im Internet Explorer wird im Zuge dieses Patch-Days noch nicht geschlossen.

quelle : winfuture.de

Share

Zero-Day-Exploit für den Internet Explorer

Microsoft hat eine Sicherheitslücke im Internet Explorer unter Windows XP bestätigt, durch die Angreifer ein System kompromittieren können. Die Lücke beruht laut Bericht auf der Möglichkeit der VBScript-Funktion MsgBox, beliebige Hilfe-Dateien (.hlp) von Netzwerkfreigaben nachzuladen und mit darin enthaltenen Makros beliebige Befehle auszuführen. Allerdings ist ein wenig Nutzerinteraktion notwendig: Der Anwender muss zur Bestätigung die F1-Taste drücken. Ob dies im Zweifel einen Anwender in der Praxis vor einer Infektion seines PCs bewahrt, ist fraglich – der Text der kleinen Message-Box könnte ihn durchaus dazu verleiten.

In einem kurzen Test der heise-Security-Redaktion öffnete ein Demo-Exploit auf einem vollständig gepatchten “Windows XP SP3”-System mit Internet Explorer 8 den Taschenrechner. Kriminelle könnten mit anderen Befehlen Schadcode nachladen und starten.

quelle : heise.de

Share

Sicherheits-Update von Microsoft führt zu Bluescreen

Microsoft hat Meldungen bestätigt, wonach der Patch von Anfang der Woche zum Schließen einer Lücke in der Virtual DOS Machine nach der Installation auf einigen Systemen zu Problemen beim Start führt – konkret heißt das, dass der Bootvorgang bei Windows XP in einem berüchtigten Bluescreen und anschließendem Neustart endet.

Sicherheitshalber wird der Patch nun nicht mehr über die automatische Update-Funktion verteilt. Microsoft empfiehlt stattdessen, das Fix-it-Tool zum provisorischen Schließen der Lücke zu benutzen. Microsoft untersucht das Problem derzeit noch, bestätigt aber nicht, dass der Patch selbst fehlerhaft ist oder dass Interoperabilitätsprobleme mit Software anderer Hersteller die Ursache sei.

quelle : heise.de, Hier klicken um den vollen Artikel zu lesen.

Share

Patch-Day: Microsoft will 26 Lücken schließen

Am kommenden Dienstag ist wieder Patch-Day bei Microsoft. Stolze 26 Sicherheitslücken will der Konzern aus Redmond an diesem Tag schließen, darunter auch ein 17 Jahre altes Problem unter Windows.

Insgesamt 13 Security Bulletins sind geplant, von denen fünf als kritisch eingestuft werden. 11 davon adressieren Probleme in Windows, die restlichen zwei beschäftigen sich mit Office. Dabei sind allerdings nur ältere Versionen betroffen. Das aktuelle Office 2007 sowie Office 2008 für den Mac werden kein Update erhalten.

Auch die im Januar entdeckte Sicherheitslücke in allen 32Bit-Versionen von Windows, die bereits seit 17 Jahren existiert, wird gestopft. Die Sicherheitslücke befindet sich in der 1993 eingeführten Virtual DOS Machine (VDM), mit der 16Bit-Anwendungen ausgeführt werden können.

Share