Inhalte überspringen »
Security aktuell
Montag, 12. November 2007 - aktualisierte Meldung
Starten beliebiger Programme über verschiedene URI-Handler und Anwendungen (MS07-061)
Systeme:
Windows
Lösung:
Nachtrag 31.7.:
Die Schwachstelle kann in Firefox 2.0.0.6 weiterhin ausgenutzt werden.
Vermutlich sind auch die anderen Programme weiterhin verwundbar.
Nachtrag 5.10.:
Auch über verschiedene andere URI und Anwendungen kann die Schwachstelle ausgenutzt werden.
Nachtrag 11.10.:
Microsoft bereitet einen Patch für die Schwachstelle vor.
Nachtrag 16.10.:
Ein weiterer Exploit für PDF-Dateien wurde veröffentlicht.
Nachtrag 13.11.:
Die Schwachstelle wird mit Microsofts Security Bulletin MS07-061 behoben.
Nachtrag 31.7.:
- Firefox: Die Schwachstelle wurde in Version 2.0.0.6 behoben.
- SeaMonkey: Die Schwachstelle wurde in Version 1.1.4 behoben.
- Thunderbird: Die Schwachstelle wurde in Version 1.5.0.13 und 2.0.0.6 behoben.
Die Schwachstelle kann in Firefox 2.0.0.6 weiterhin ausgenutzt werden.
Vermutlich sind auch die anderen Programme weiterhin verwundbar.
Nachtrag 5.10.:
Auch über verschiedene andere URI und Anwendungen kann die Schwachstelle ausgenutzt werden.
Nachtrag 11.10.:
Microsoft bereitet einen Patch für die Schwachstelle vor.
Nachtrag 16.10.:
Ein weiterer Exploit für PDF-Dateien wurde veröffentlicht.
Nachtrag 13.11.:
Die Schwachstelle wird mit Microsofts Security Bulletin MS07-061 behoben.
Quellen:
- [Full-disclosure] More URI Handling Vulnerabilites (FireFox Remote Command Execution)
- Billy (BK) Rios: Remote Command Execution in FireFox et al
- Thor Larholm: Mozilla Protocol Abuse
- Jesper Johansson: Hey, Mozilla: Quotes Are Not Legal in a URL
- Bug 389580 - some schemes with %00 launch unexpected handlers on windows
- Bug 389106 - firefox may not escape quotes everywhere
- Nachtrag 31.7.: MFSA 2007-27: Unescaped URIs passed to external programs
- Nachtrag 31.7.: US-CERT: Vulnerability Note VU#783400: Mozilla Firefox URI filtering vulnerability
- Nachtrag 31.7.: US-CERT: Vulnerability Note VU#403150: Microsoft Windows URI protocol handling vulnerability
- Nachtrag 6.9.: Firefox File Handling Woes
- Nachtrag 5.10.: Bugtraq: 0day: mIRC pwns Windows
- Nachtrag 5.10.: Bugtraq: Re: 0day: mIRC pwns Windows
- Nachtrag 5.10.: Bugtraq: Re[2]: 0day: mIRC pwns Windows
- Nachtrag 5.10.: Bugtraq: Re: Re[2]: 0day: mIRC pwns Windows
- Nachtrag 5.10.: Bugtraq: Re: 0day: mIRC pwns Windows
- Nachtrag 11.10.: Microsoft Security Advisory (943521): URL Handling Vulnerability in Windows XP and Windows Server 2003 with Windows Internet Explorer 7 Could Allow Remote Code Execution
- Nachtrag 11.10.: MSRC Blog: Additional Details and Background on Security Advisory 943521
- Nachtrag 16.10.: [Full-disclosure] 0-day PDF exploit
- Nachtrag 13.11.: Microsoft Security Bulletin MS07-061 - Vulnerability in Windows URI Handling Could Allow Remote Code Execution (943460)
Status:
Patch OK Erklärung
