Grosse Sicherheitsluecke in den IE-Versionen 6,7 und 8

[Sybille Ludolff]

Z I T A T:

"DPA 2010-01-15 17:53:18
Beim Microsoft Internet Explorer gibt es offenbar neue kritische
Sicherheitslücke. Davor warnt das Bundesamt für Sicherheit in der
Informationstechnik. Die Experten raten, den Browser vorerst nicht zu
benutzen, bis die Lücke geschlossen ist. Betroffen seien die Browser-
Versionen 6, 7 und 8 auf den Betriebssystemen XP, Vista und Windows 7.
Laut Microsoft ist die Lücke vermutlich auch bei der jüngsten
Hackerattacke gegen Google und einige andere Unternehmen in China
ausgenutzt worden."

aus: Message-ID: <***@moderator.news.arcor.de>



Bestimmt wird der Leser dieser Gruppe sogleich unterrichtet, wenn diese
Lücke(n) geschlossen ist/sind und wie das geschehen soll.

Bis dahin werde ich den FF bzw. Opera und Iron nutzen. So jedenfalls wird
es überalll in TV und Radio dringendst empfohlen.

[Leon Yacht]

Post by Sybille Ludolff
Bis dahin werde ich den FF bzw. Opera und Iron nutzen. So jedenfalls wird
es überalll in TV und Radio dringendst empfohlen.

Nicht nur dort:


-----Original Message-----
From: Buerger-CERT [mailto:***@buerger-cert.de]
Sent: Friday, January 15, 2010 2:39 PM
Subject: [Foucault] SICHER o INFORMIERT Extraausgabe vom 15.01.2010


SICHER o INFORMIERT
Extraausgabe vom 15.01.2010

Buerger-CERT empfiehlt die voruebergehende Nutzung aktueller
alternativer Browser

Kritische Sicherheitsluecke im Internet Explorer

Im Internet Explorer existiert eine bisher unbekannte kritische
Sicherheitsluecke. Die Schwachstelle ermoeglicht Angreifern, ueber eine
manipulierte Webseite Schadcode in einen Windows-Rechner zu schleusen
und zu starten. Der in der vergangenen Woche bekannt gewordene
Hacker-Angriff auf Google und weitere US-Unternehmen hat diese
Sicherheitsluecke vermutlich ausgenutzt.

Betroffen sind die Versionen 6, 7 und 8 des Internet Explorer auf den
Windows-Systemen XP, Vista und 7. Microsoft hat ein Security Advisory
[http://www.microsoft.com/technet/security/advisory/979352.mspx]
herausgegeben, in dem es moegliche Wege zur Risikominimierung
beschreibt. Microsoft arbeitet bereits an einem Patch, um die
Sicherheitsluecke zu schliessen. Das BSI erwartet, dass diese
Schwachstelle in kurzer Zeit fuer Angriffe im Internet eingesetzt wird.

Das Ausfuehren des Internet Explorers im "geschuetzten Modus" sowie das
Abschalten von Active Scripting erschwert zwar die Angriffe, kann sie
jedoch nicht vollstaendig verhindern. Deshalb empfiehlt das
Buerger-CERT, bis zum Vorliegen eines Patches von Microsoft auf einen
aktuellen alternativen Browser umzusteigen.


-----------------------------------------------------------------------

Die Extraausgabe "SICHER o INFORMIERT" ist ein kostenloses
Service-Angebot des Buerger-CERT. Die Informationen werden vom Bundesamt
fuer Sicherheit in der Informationstechnik, http://www.bsi.bund.de, mit
groesster Sorgfalt recherchiert und aufbereitet. Dennoch kann eine
Gewaehr oder Haftung fuer die Vollstaendigkeit und Richtigkeit nicht
uebernommen werden.

Unter http://www.buerger-cert.de haben Sie die Moeglichkeit, den
Newsletter zu abonnieren oder abzubestellen. Fragen und Anregungen an
die Redaktion bitte an: ***@bsi.bund.de

[Johannes Alberts]

Post by Leon Yacht

Post by Sybille Ludolff
Bis dahin werde ich den FF bzw. Opera und Iron nutzen. So jedenfalls wird
es überalll in TV und Radio dringendst empfohlen.

... dort beruft man sich auf BSI.

Post by Leon Yacht
-----Original Message-----

buerger-cert.de ist "Ein Projekt von" BSI ...

Hallo zusammen,

wie kritisch seht Ihr die Gefahr dieser Sicherheitslücke in der
deutschen Realität, inbesondere bei Verwendung vom IE6 und IE7 in einem
Unternehmensnetzwerk, wo professionelle Firewalls, Proxy, Contentfilter,
lokale Virenscanner zum Einsatz kommen _und_ wo die Benutzer eigentlich
keinen privaten Interessen nachgehen sollten?

Wenn ich das richtig sehe, dann geht diese Sicherheitslücke nur in
Deutschland durch die Medien da BSI warnt. Auf der Informationssuche
nach weiteren Informationen in anderen Ländern wird meistens in wenigen
Sätzen darauf hingewiesen, dass Deutschland durch den BSI ein offizielle
Warnmeldung herausgegeben wurde. Für mich sieht das so aus, als ob das
Thema durch den BSI "hoch aufgehängt" wird.

Mich würde jetzt insbesonders interessieren, wie hier mitlesende Admins
konkret auf diese Sicherheitslücke reagieren.

Mal eben einen Standardbrowser austauschen ist meistens nicht möglich.
Die von Microsoft empfohlene Anpassung der Sicherheitseinstellungen im
IE wäre zwar vermutlich über Gruppenrichtlinien kurzfristig möglich,
jedoch ob dann noch alle webbasierten Anwendungen funktionieren ist
fraglich.

Viele Grüße,
Johannes

P.S. hat schon jemand Infos, wann mit einem Patch gerechnet werden kann?

[Ottmar Freudenberger]

Post by Johannes Alberts
Wenn ich das richtig sehe, dann geht diese Sicherheitslücke nur in
Deutschland durch die Medien da BSI warnt.

Nunja, das mag daran liegen, dass Germanen überwiegend germanisch verstehen.
http://www.certa.ssi.gouv.fr/site/CERTA-2010-ALE-001/CERTA-2010-ALE-001.html

Post by Johannes Alberts
P.S. hat schon jemand Infos, wann mit einem Patch gerechnet werden kann?

http://blogs.technet.com/msrc/archive/2010/01/18/advisory-979352-update-for-monday-january-18.aspx
| we will release this security update as soon as the appropriate amount of
| testing has been completed.

F'up2 microsoft.public.de.security.heimanwender
(evtl. Antworten hierauf erscheinen in o.g. Newsgroup)

Bye,
Freudi

[Ansgara Schwebelve]

On Tue, 19 Jan 2010 05:55:06 +0100, "Ottmar Freudenberger"

Post by Ottmar Freudenberger

Post by Johannes Alberts
Wenn ich das richtig sehe, dann geht diese Sicherheitslücke nur in
Deutschland durch die Medien da BSI warnt.

Nunja, das mag daran liegen, dass Germanen überwiegend germanisch verstehen.
http://www.certa.ssi.gouv.fr/site/CERTA-2010-ALE-001/CERTA-2010-ALE-001.html

Post by Johannes Alberts
P.S. hat schon jemand Infos, wann mit einem Patch gerechnet werden kann?

Ja, hier:

http://www.microsoft.com:80/technet/security/bulletin/ms10-002.mspx
Microsoft Security Bulletin MS10-002 - Critical
Cumulative Security Update for Internet Explorer (978207)

[Ottmar Freudenberger]

Post by Ansgara Schwebelve

Post by Johannes Alberts
P.S. hat schon jemand Infos, wann mit einem Patch gerechnet werden kann?

http://www.microsoft.com:80/technet/security/bulletin/ms10-002.mspx
Microsoft Security Bulletin MS10-002 - Critical
Cumulative Security Update for Internet Explorer (978207)

Guten Morgen, news:***@TK2MSFTNGP05.phx.gbl
<***@TK2MSFTNGP05.phx.gbl>

Bye,
Freu"noch irgendwo?"di

[Kai Schaetzl]

aus:
http://www.heise.de/newsticker/meldung/Exploit-fuer-IE-Sicherheitsluecke-jetzt-
oeffentlich-906143.html

Nach aktuellem Erkenntnisstand lässt sich der Exploit in Internet Explorer 8 mit
aktiviertem DEP nicht ausnutzen.

Hier kann man DEP per Mausklick aktivieren:
http://support.microsoft.com/default.aspx?scid=kb;en-us;979352&sd=rss&spid=8722

(Auf den meisten aktuellen IE8-Plattformen ist es standardmäßig aktiviert, nur auf XP
SP2 nicht.)

Kai