[Warning] Schwerwiegende Sicherheitslücke in Microsoft Internet Explorer 6 bis 11 - aktiv ausgenützt

[Robert Waldner]

18. September 2013

   CERT.at ersucht um Beachtung der folgenden Meldung.

Beschreibung

   Microsoft hat ein Security Advisory (siehe
   https://technet.microsoft.com/en-us/security/advisory/2887505) zu
   einer schwerwiegenden Sicherheitslücke in Internet Explorer 6 bis 11
   veröffentlicht. Da die Schwachstelle laut Microsoft bereits in
   gezielten Attacken (für Internet Explorer 8 und 9) aktiv ausgenützt
   wird, empfiehlt CERT.at, die folgende Sicherheitsmeldung zu beachten.

   Die Schwachstelle kann dazu benutzt werden, auf den PCs von Besuchern
   einer präparierten Webseite beliebigen Code mit den Rechten des
   angemeldeten Benutzers auszuführen. Die Opfer können per Mail/Spam zu
   diesen Seiten gelockt werden; alternativ können die Angreifer
   versuchen, in legitime Seiten einzubrechen und diese zu manipulieren.

Auswirkungen

   Da der Angreifer prinzipiell beliebigen Code auf betroffenen Systemen
   ausführen kann, sind alle Daten auf diesen Systemen, sowie potenziell
   alle durch diese erreichbaren (etwa durch ausspionierte Zugangsdaten,
   VPN, Fileshares, etc.) Daten und anderen Systeme gefährdet.

Betroffene Systeme

   Im Prinzip alle Systeme, auf denen Microsoft Internet Explorer
   Version 6 bis 11 installiert ist.

   Details:
     * Internet Explorer 6 auf
          + Windows XP Service Pack 3
          + Windows XP Professional x64 Edition Service Pack 2
          + Windows Server 2003 Service Pack 2
          + Windows Server 2003 x64 Edition Service Pack 2
          + Windows Server 2003 mit SP2 für Itanium-basierte Systeme
     * Internet Explorer 7 auf
          + Windows XP Service Pack 3
          + Windows XP Professional x64 Edition Service Pack 2
          + Windows Server 2003 Service Pack 2
          + Windows Server 2003 x64 Edition Service Pack 2
          + Windows Server 2003 mit SP2 für Itanium-basierte Systeme
          + Windows Vista Service Pack 2
          + Windows Vista x64 Edition Service Pack 2
          + Windows Server 2008 für 32-bit Systeme Service Pack 2
          + Windows Server 2008 für x64-basierte Systeme Service Pack 2
          + Windows Server 2008 für Itanium-basierte Systeme Service
            Pack 2
     * Internet Explorer 8 auf
          + Windows XP Service Pack 3
          + Windows XP Professional x64 Edition Service Pack 2
          + Windows Server 2003 Service Pack 2
          + Windows Server 2003 x64 Edition Service Pack 2
          + Windows Vista Service Pack 2
          + Windows Vista x64 Edition Service Pack 2
          + Windows Server 2008 für 32-bit Systeme Service Pack 2
          + Windows Server 2008 für x64-basierte Systeme Service Pack 2
          + Windows 7 für 32-bit Systeme Service Pack 1
          + Windows 7 für x64-basierte Systeme Service Pack 1
          + Windows Server 2008 R2 für x64-basierte Systeme Service
            Pack 1
          + Windows Server 2008 R2 für Itanium-basierte Systeme Service
            Pack 1
     * Internet Explorer 8 auf
          + Windows Vista Service Pack 2
          + Windows Vista x64 Edition Service Pack 2
          + Windows Server 2008 für 32-bit Systeme Service Pack 2
          + Windows Server 2008 für x64-basierte Systeme Service Pack 2
          + Windows 7 für 32-bit Systeme Service Pack 1
          + Windows 7 für x64-basierte Systeme Service Pack 1
          + Windows Server 2008 R2 für x64-basierte Systeme Service
            Pack 1
     * Internet Explorer 10 auf
          + Windows 7 für 32-bit Systeme Service Pack 1
          + Windows 7 für x64-basierte Systeme Service Pack 1
          + Windows Server 2008 R2 für x64-basierte Systeme Service
            Pack 1
          + Windows 8 für 32-bit Systeme
          + Windows 8 für 64-bit Systeme
          + Windows Server 2012
          + Windows RT
     * Internet Explorer 11 auf
          + Windows 8.1 für 32-bit Systeme
          + Windows 8.1 für 64-bit Systeme
          + Windows Server 2012 R2
          + Windows RT 8.1

Abhilfe

   Da momentan noch kein Bugfix zur Verfügung steht, empfiehlt Microsoft
   das sogenannte "Fix-It"-Tool zu verwenden, um einen Workaround für
   dieses Problem zu aktivieren ("CVE-2013-3893 MSHTML Shim
   Workaround").
   Details zur Benutzung des "Fix-It"-Tools siehe
   http://support.microsoft.com/kb/2887505.

   Weiters wird empfohlen, wo möglich:
     * das Enhanced Mitigation Experience Toolkit (EMET) für Internet
       Explorer zu aktivieren (Details siehe
       http://support.microsoft.com/kb/2458544)
     * die Sicherheitseinstellungen für "Internet" und "Lokales
       Intranet" auf "Hoch" zu setzen, um ActiveX Controls und Active
       Scripting abzuschalten (vertrauenswürdige Webseiten, die
       benötigt werden und diese Funktionalität voraussetzen, können
       manuell zu den "vertrauenswürdigen Seiten" hinzugefügt werden)
     * Internet Explorer so konfigurieren, dass er vor dem Ausführen von
       aktiven Inhalten eine Bestätigung verlangt

   Eine genaue Beschreibung samt möglicher Nebenwirkungen enthält das
   Advisory von Microsoft.

Hinweis

   Generell empfiehlt CERT.at, wo möglich die "automatisches
   Update"-Features von Software zu nutzen, parallel Firewall-Software
   aktiv und den Virenschutz aktuell zu halten.
     __________________________________________________________________

   Informationsquelle(n):
   Microsoft Security Advisory 2887505 (englisch)
   https://technet.microsoft.com/en-us/security/advisory/2887505
   Details zur Benutzung von EMET (englisch)
   http://support.microsoft.com/kb/2458544
   Details zur Benutzung des "Fix-It"-Tools (englisch)
   http://support.microsoft.com/kb/2887505

-- 
// CERT Austria - Robert Waldner <waldner at cert.at>
// http://www.cert.at/ - T: +43 1 5056416 78
// Eine Initiative der nic.at GmbH
// http://www.nic.at/ - Firmenbuchnummer 172568b, LG Salzburg

-------------- next part --------------
A non-text attachment was scrubbed...
Name: signature.asc
Type: application/pgp-signature
Size: 251 bytes
Desc: OpenPGP digital signature
URL: <http://lists.cert.at/pipermail/warning/attachments/20130918/b0b83343/attachment.sig>