Freies Politikforum für Demokraten und Anarchisten

bjk · Beiträge: 7353 Ort: Berlin

JAAAAAAAAAAAA

Gruß
bjk

Reife ist
schärfer zu trennen
und inniger zu verbinden

Ralf. · Erstellt: 12.09.03, 15:25 Betreff: Re: Computersicherheit!

Hab' gerade diese Warnmail bekommen und MS03-039 von
http://www.microsoft.com/germany/ms/security/windowssicherheit.htm
runtergeladen und installiert. Meinst Du das ?

###############################################

CERT-Bund -- Warn- und Informationsdienst

###############################################

Informationen zu Programmen mit Schadfunktionen

VIRINFO 03/010 vom 12.09.2003

Hinweis vor kritischen Sicherheitsluecken in Microsoft Produkten

In Microsoft Windows Betriebssystemen und in Microsoft Office
Anwendungen sind als "kritisch" eingestufte Sicherheitsluecken entdeckt
worden, die unverzueglich durch die Installation der entsprechenden
Sicherheitsupdates (Patches) behoben werden sollten.

Im einzelnen:

In Microsoft Betriebssystemen sind neue Sicherheitsluecken im Remote
Procedure Call (RPC) Protokoll aufgedeckt worden.

Betroffen sind die Microsoft-Betriebssysteme:

Windows NT 4.0
Windows 2000
Windows XP
Windows Server 2003

Nicht betroffen sind die Microsoft-Betriebssysteme:
Windows 95
Windows 98
Windows 98 SE
Windows ME

Microsoft stellt hierzu das Sicherheitsupdate MS03-039 zur Verfuegung.

Dieses Update (Patch) sollte unbedingt eingespielt werden, da diese
Sicherheitsluecke zu einer aehnlichen Bedrohung wie beim
W32.Blaster.Worm (alias W32/Lovsan.Worm ) fuehren kann.

Ausfuehrliche Hinweise auf dieses Sicherheitsupdate unter Angabe der
entsprechenden Download-Links finden Sie auf der deutschen
Microsoft-Seite unter:
http://www.microsoft.com/germany/ms/security/windowssicherheit.htm

---------------------------------------------------------------

Ausserdem sind Sicherheitsluecken in Office-Anwendungen entdeckt worden,
von denen eine als "kritisch" und zwei als "hoch" eingestuft worden
sind:

Sicherheitsupdate fuer Microsoft Visual Basic fuer Applikationen
(MS03-037, kritisch)
"Ein Fehler in Visual Basic fuer Applikationen (VBA) kann Ausfuehrung
von beliebigem Code ermoeglichen (KB822715)"

Sicherheitsupdate fuer Word und Works Suite (MS03-035, hoch)
"Makros koennen unabhaengig von den Sicherheitseinstellungen in Word
ohne Warnung ausgefuehrt werden."

Sicherheitsupdate fuer Office (Word, PowerPoint), FrontPage, Publisher
und Works Suite (MS03-036, hoch)
"Durch eine Sicherheitsluecke kann es beim Umwandeln einer
WordPerfect-Datei mit dem WordPerfect-Konverter in das Word-Dateiformat
zu Ausfuehrung von Programmcode kommen."

Diese als kritisch und hoch eingestuften Sicherheitsupdates sollten
unverzueglich eingespielt werden, wenn Sie die entsprechenden Produkte
im Einsatz haben.

Hier finden Sie ausfuehrliche Hinweise auf die jeweiligen
Sicherheitsupdates unter Angabe der entsprechenden Download-Links auf
der deutschen Microsoft-Seite unter:
http://www.microsoft.com/germany/ms/security/officesicherheit.htm

===============================================
Hinweise zum Abmeldeverfahren dieser Mailingliste gibt es auf den
Seiten des CERT-Bund

Die Authentizitaet dieser Nachricht kann anhand der digitalen Signatur
ueberprueft werden. Die hierfuer zum Einsatz kommenden oeffentlichen
Schluessel sowie die Verfahren sind auf den Seiten des CERT-Bund
aufgefuehrt und erlaeutert.

HINWEIS:

Die Inhalte dieser Meldung repraesentieren den Kenntnisstand des BSI
zum Zeitpunkt der Versendung. Eine Haftung fuer eventuelle Schaeden
oder Konsequenzen, die durch die direkte oder indirekte Nutzung der
Inhalte entstehen, wird ausgeschlossen.
Diese Meldung kann unter Einhaltung des Urheberrechts im vollstaendigen
Wortlaut, ohne Aenderungen und mit BSI-Copyright-Informationen kopiert
und fuer den persoenlichen und privaten Gebrauch weitergeleitet werden.
Eine kommerzielle Nutzung ist ausdruecklich untersagt.

_________________________

"Ich vertraue auf den Keim des Guten (wer mag: des Göttlichen) im Menschen - wie hart auch immer ihn die Verhältnisse gemacht haben mögen !"
www.rhellbart.de

www.carookee.com/forum/m-wie-mensch

bjk · Beiträge: 7353 Ort: Berlin

Unsicher by Design
[11.09.2003 17:04]

Unsicher by Design

Gestern hat Microsoft den zweiten Patch für den RPC-Dienst[1] herausgebracht -- und es wird wohl kaum der letzte sein. Das ist noch nicht so ungewöhnlich -- schließlich gibt es auch immer wieder Sicherheitslücken in den Diensten anderer Betriebssystemen, die bereits gepatcht waren. Zur Erinnerung: Der Blaster/Lovsan-Wurm hat auch auf Unix-Systemen den DCE-Dienst zum Absturz[2] gebracht.

Was man Microsoft jedoch nicht durchgehen lassen darf, ist die Mißachtung der einfachsten Regel der IT-Sicherheit, die sich mit dem Blaster-Wurm gerächt hat und die jetzt auch dem aktuellen Patch wieder besondere Bedeutung zukommen lässt. Diese Regel lautet: "Gehe keine unnötigen Risiken ein."

Konkret auf Netzwerke angewandt, bedeutet das: "Biete auf deinem Rechner keine Dienste an, die du nicht brauchst". Microsoft verstösst gegen diesen elementaren Grundsatz seit Jahren immer wieder; Windows bietet in der Default-Konfiguration kritische Dienste auch über Internet-Schnittstellen an. Früher waren bei Windows 98 die "Windows Datei- und Druckdienste" per Default an das DFÜ-Interface gebunden. Mittlerweile ist das nicht mehr der Fall, doch trotzdem hat sich die Situation eher verschlimmert. Auf Rechnern mit Windows NT/2000/XP/2003 sind die Dienste RPC (Port 135) und SMB over TCP (Port 445) auf allen Netzwerkschnittstellen aktiv -- und das kann der Anwender nicht einmal ohne weiteres abschalten.

Dabei nutzt der normale Endanwender diese Dienste bestenfalls in lokalen Netzen, im Internet hat er nicht den geringsten Nutzen davon. Für ihn sind die (Internet-)Dienste auf Port 135 und 445 nur ein unnötiges Risiko. Wer tatsächlich seine Laufwerke für den Zugriff übers Internet freigeben will, sollte dies selbst aktivieren müssen.

Dieses Problem ist seit Jahren bekannt und wird seit Jahren von Crackern und Würmern ausgenutzt. Mit den sogenannten Personal Firewalls hat sich sogar eine ganze Software-Gattung darauf spezialisiert, diese Einfallstore notdürftig zu verriegeln. Auch Microsoft hat die Gefahr erkannt und Windows XP die Internetverbindungsfirewall spendiert, die unangeforderte Pakete aus dem Internet verwirft.

Doch vom Sicherheitsstandpunkt ist das die falsche Herangehensweise. Wenn man weiß, dass das Türschloss leicht zu öffnen ist, engagiert man keinen Privatdetektiv, der unerwünschte Gäste abweist, sondern tauscht das Schloss aus. Der Privatdetektiv bedeutet zusätzliche Kosten und irgendwann macht er auch mal Pause. Der Blaster-Wurm konnte sich vor allem deshalb so weit verbreiten, weil viele Anwender die Internetverbindungsfirewall abgeschaltet hatten oder sie mit ihrer T-Online/AOL-Software gar nicht funktionierte.

Mir ist es ein Rätsel, warum Microsoft immer noch auf den Privatdetektiv Personal Firewall setzt, statt das Schloss zu wechseln. Dazu müssten sie nur dafür sorgen, dass bei einer Standard-Windows-Installation an die Internet-Schnittstelle keine Dienste gebunden sind. Vermutlich hat das mal jemand anders implementiert, weil es einfacher war und jetzt ist es zu teuer, den Code so grundlegend zu modifizieren. Doch in Anbetracht der Schäden, die der Blaster-Wurm und seine absehbaren Nachfolger anrichten, darf dieses Argument nicht zählen. Es ist höchste Zeit, endlich das Schloss zu wechseln.

Jürgen Schmidt[3]

URL dieses Artikels:
http://www.heise.de/security/artikel/40236

Links in diesem Artikel:
[1] /security/news/meldung/40217
[2] http://www.heise.de/security/news/meldung/39402
[3] mailto:[email protected]

bjk · Beiträge: 7353 Ort: Berlin

RPC-Dienst immer noch offen -- Microsoft bessert nach
[11.09.2003 00:42]

Microsoft hat am Mittwochabend neue Patches für den RPC/DCOM-Dienst herausgebracht, in dem sie erst kürzlich schwerwiegende Sicherheitslücken[1] gestopft hatten. Der Blaster/Lovsan-Wurm machte sich diese Sicherheitslücken zu Nutze, um sich Mitte August massiv zu verbreiten[2].

Das jüngste Security Bulletin MS03-039[3] warnt, dass sich offenbar noch immer drei Sicherheitslücken im RPC/DCOM-Dienst befinden, zwei davon ermöglichen die Ausführung von beliebigen Befehlen. Betroffen sind wiederum Windows NT, 2000, XP und Server 2003. Die Patches im aktuellen Bulletin bezeichnet Microsoft als Ersatz für die in MS03-026[4] aufgeführten. Microsoft stuft die neuen Lücken als kritisch ein und empfiehlt Anwendern und Administratoren dringend, die Patches schnellstmöglich einzuspielen.

Bei den Informationen, um was es sich bei den Problemen genau handelt, halten sich die Redmonder jedoch sehr bedeckt. Aus ihren Ausführungen lässt sich nicht einmal entnehmen, ob es sich um neue Lücken handelt oder um die bereits bekannten, die womöglich fehlerhaft gestopft wurden. Mehr Informationen liefert die Firma eEye Digital Security[5], bei der sich Microsoft für Berichte über das Problem bedankt. Ein parallel veröffentlichtes eEye-Advisory[6] spricht von einer neuen Schwachstelle, die zu einer "Heap Corruption" führen kann. Der Heap ist ein Speicherbereich, in dem Variablen und auch dynamisch allozierter Speicher liegen. Heap-Overflows sind schwieriger auszunutzen als die klassischen Buffer-Overflows auf dem Stack, insbesondere weil es keinen generischen Weg gibt, einmal eingeschleusten Code anzuspringen. eEye hat jedoch anscheinend einen Weg gefunden, die Schwachstelle auszunutzen, stellt aber keinen konkreten Exploit-Code bereit. Dafür haben die Sicherheitsexperten ihren Retina-Security-Scanner so modifiziert, dass er in Netzwerken anfällige Systeme identifizieren kann. Eine spezieller RPC-Scanner steht zum kostenlosen Download[7] bereit. Auch Microsoft stellt einen Scanner[8] bereit, der verwundbare Systeme identifiziert.

Ob der bereits vor einiger Zeit berichtete, weitere Fehler im RPC-Dienst von Windows 2000[9] durch den aktuellen Microsoft-Patch beseitigt wird, ist derzeit noch offen.

Siehe dazu auch:

Microsofts Security Bulletin MS03-039[10]
Microsofts Scanner[11]
Das eEye-Advisory[12]
eEye RPC-Scanner[13]
heise Security Hintergrund:-Artikel: Buffer-Overflows und andere Sollbruchstellen[14]
(pab[15]/c't)

URL dieses Artikels:
http://www.heise.de/security/news/meldung/40217

Links in diesem Artikel:
[1] http://www.heise.de/security/news/meldung/38638
[2] http://www.heise.de/security/news/meldung/39347
[3] http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-039.asp
[4] http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-026.asp
[5] http://www.eeye.com/
[6] http://www.eeye.com/html/Research/Advisories/AD20030910.html
[7] http://www.eeye.com/html/Research/Tools/RPCDCOM.html
[8] http://support.microsoft.com/?kbid=827363
[9] http://www.heise.de/security/news/meldung/38894
[10] http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-039.asp
[11] http://support.microsoft.com/?kbid=827363
[12] http://www.eeye.com/html/Research/Advisories/AD20030910.html
[13] http://www.eeye.com/html/Research/Tools/RPCDCOM.html
[14] /security/artikel/37958/0
[15] mailto:[email protected]

Copyright © 2003 Heise Zeitschriften Verlag

bjk · Beiträge: 7353 Ort: Berlin

Neues vom XP-Virus:

http://www.heise.de/security/news/meldung/39406

bjk

Reife ist
schärfer zu trennen
und inniger zu verbinden

Hadubrandt34 · Ort: Holstein

Stimmt, Norton hat bei mir nur exat die Hälfte der betroffenen Dateien gesäubert.....

------------------------------------------------------
Now its the time for a change-the days of your childhood are gone
The fool and the wise man had burned at the stake
Confusion remaining too long......
Violence and hate we've to face once again
The innocent victims of fate.....
The prophets have written their words of war,
We must fight before it's too late....

bjk · Beiträge: 7353 Ort: Berlin

Achtung! Brandaktuell!

Wer Norton Security geschützt ist, sollte unbedingt sofort den neuesten Virenschutz updaten und zwar:

Version vom 11.8.03.
Warum ? Hier nachzulesen:
http://www.sophos.de/virusinfo/analyses/w32blastera.html

http://www.sarc.com/avcenter/venc/data/w32.blaster.worm.html

Hier das tool zum Beseitigen, offenbar kann Norton den Virus zwar erkennen
aber nicht korrekt entfernen:

http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.removal.tool.html

Gruß
bjk

Reife ist
schärfer zu trennen
und inniger zu verbinden

bjk · Beiträge: 7353 Ort: Berlin

Hallo WoZi,

hmm, ich muß Dir jetzt ein Geheimnis verraten - - - ich nutze schon fast 2 Jahre A-DSL bzw. T-DSL und seit etwa 1 Jahr T-DSL 1500 und selbstverständlich braucht es auch dafür ein Modem, allerdings kein Analog- oder K56-Modem sondern ein Spezial-DSL-Modem. In meinem Beitrag von gestern 10:23 Uhr meinte ich auch nur ein Analog-Modem.

Und via DSL-Modem in Verbindung mit Splitter und Netzwerkkarte wird dann eine schnelle DSL-Verbindung entweder über einen Analog-Telefonanschluß oder einen ISDN-Anschluß aufgebaut. So weit, so gut!

Aaaaber ein A-DSL-PC bzw. T-DSL-PC ist mindestens genauso wenig sicher vor Internetangriffen wie eine herkömmliche Analog- onder ISDN-Verbindung. Eher im Gegenteil, denn weil die A-DSL-Anbindung wesentlich schneller und die Internetverbindung ständig bzw. dauerhaft besteht, bietet eine solche A-DSL-Anbindung einem potentiellen Angreifer wesentlich mehr Möglichkeiten.

WoZi, Du schreibst stolz: "Bei mir kommt niemand so ohne weiteres hinein, es sei denn er entschlüsselt das password des Modems und den User." - - - Hmm, Du kannst natürlich sämtliche Ports schließen, dazu braucht es aber kein A-DSL sondern geht z. B. bei Windows über Netzwerkeinstellungen, nur wirst Du dann bei manchen Providern, Diensten oder auch im CDU-Forum sicher Probleme bekommen, - Du kannst, wenn überhaupt, wahrscheinlich nicht alle Funktionen aufrufen.

Auch Cookies, Java, Javascript, ActiveX, VBScript etc. sowie Viren und eMail-Würmer lassen sich durch entsprechende Browsereinstellungen und zusätzlichen Firewall weitgehend verhindern. Aber eine absolute Sicherheit kann es natürlich nicht geben - - - auch nicht bei völlig geschlossenen Ports. Letztere locken bei Profi-Hackern nur ein müdes Lächeln hervor.

Gruß
bjk

ach ja, noch was, man kann bei A-DSL natürlich nebenher sein Analog-Modem weiter aktiviert lassen, darüber freuen sich dann die berüchtigten 0190er-Dialer trotz vermeintlichem A-DSL-Schutz wie über ein offenes Scheunentor! Deshalb bei A-DSL-Betrieb unbedingt das Analog- oder K56-Modem deaktivieren! So der Rat auf meine Anfrage beim Support der Deutschen Telekom.

Reife ist
schärfer zu trennen
und inniger zu verbinden

W. Zimmermann · Erstellt: 07.08.03, 02:23 Betreff: . o.T.

bjk · Beiträge: 7353 Ort: Berlin

>> "Alle ports von aussen kann man nämlich sperren ..." <<

Hallo WoZi,

kannste das vielleicht mal etwas detaillierter beschreiben, wie das geht? Denn bei A-DSL ist doch meines Wissens überhaupt kein Modem nötig und ein vorhandenes sollte man eh besser deaktivieren, damit z. B. die 0190er Nummern ausgesperrt bleiben. - - - Meintest Du das?

Gruß
bjk

Reife ist
schärfer zu trennen
und inniger zu verbinden