Inhalte überspringen »
Security aktuell
Montag, 13. April 2009 - aktualisierte Meldung
Kombination des Default-Download-Verzeichnisses von Safari (dem Desktop) und der Behandlung ausführbarer Dateien durch den Windows-Desktop erlaubt über eine bösartige Webseite die Ausführung beliebigen Codes
Systeme:
Windows
Programm:
Apple Safari
Programmversion:
< 3.1.2
Programmlink:
Lösung:
Nachtrag 3.6.:
Ursache der Schwachstelle ist lt. Aviv Raff das Zusammenwirken von Safaris Default-Download-Verzeichnis und einer altbekannten Schwachstelle im Internet Explorer.
Lt. Raff kann die Schwachstelle auch ausgenutzt werden, wenn das Download-Verzeichnis in Safari geändert wird. Als Workaround bleibt damit nur, auf die Nutzung von Safari zu verzichten, bis eine Lösung veröffentlicht wird.
Nachtrag 13.6.:
Lt. Liu Die Yu liegt das Problem darin, dass der Internet Explorer DLL-Dateien zuerst vom Desktop zu laden versucht, wenn die Dateinamen entsprechedn präpariert sind.
Liu Die Yu hat auch eine weitere Angriffsmöglichkeit gemeldet: Ein Angreifer kann einen als legitimes Icon getarnten Shortcut dazu nutzen, den Benutzer beliebige Befehle unterzuschieben, wenn der das Icon anklickt.
Nachtrag 20.6.:
Apple hat die Schwachstelle in Safari Version 3.1.2 behoben, indem eine Nachfrage vor automatischen Downloads eingefügt und das Default-Download-Verzeichnis geändert wurde.
Die Schwachstelle im Internet Explorer ist weiterhin vorhanden und kann evtl. über andere Programme und/oder Social Engineering ausgenutzt werden.
Nachtrag 14.4.09:
Microsoft hat die Schwachstelle in Windows behoben.
Nachtrag 3.6.:
Ursache der Schwachstelle ist lt. Aviv Raff das Zusammenwirken von Safaris Default-Download-Verzeichnis und einer altbekannten Schwachstelle im Internet Explorer.
Lt. Raff kann die Schwachstelle auch ausgenutzt werden, wenn das Download-Verzeichnis in Safari geändert wird. Als Workaround bleibt damit nur, auf die Nutzung von Safari zu verzichten, bis eine Lösung veröffentlicht wird.
Nachtrag 13.6.:
Lt. Liu Die Yu liegt das Problem darin, dass der Internet Explorer DLL-Dateien zuerst vom Desktop zu laden versucht, wenn die Dateinamen entsprechedn präpariert sind.
Liu Die Yu hat auch eine weitere Angriffsmöglichkeit gemeldet: Ein Angreifer kann einen als legitimes Icon getarnten Shortcut dazu nutzen, den Benutzer beliebige Befehle unterzuschieben, wenn der das Icon anklickt.
Nachtrag 20.6.:
Apple hat die Schwachstelle in Safari Version 3.1.2 behoben, indem eine Nachfrage vor automatischen Downloads eingefügt und das Default-Download-Verzeichnis geändert wurde.
Die Schwachstelle im Internet Explorer ist weiterhin vorhanden und kann evtl. über andere Programme und/oder Social Engineering ausgenutzt werden.
Nachtrag 14.4.09:
Microsoft hat die Schwachstelle in Windows behoben.
Quellen:
- Microsoft Security Advisory (953818): Blended Threat from Combined Attack Using Apple’s Safari on the Windows Platform
- Nachtrag 3.6.: Safari pwns Internet Explorer
- Nachtrag 13.6.: Design Flaw in Windows Internet Explorer Allows Remote Code Execution From Safari for Windows
- Nachtrag 13.6.: *Safari for Windows "Blended Threat" Credit*
- Nachtrag 13.6.: A New Security Issue in Safari for Windows, NOT the "Blended Threat" Described in Microsoft Security Advisory 953818
- Nachtrag 20.6.: About the security content of Safari 3.1.2 for Windows
- Nachtrag 14.4.09: Microsoft Security Bulletin MS09-015 - Blended Threat Vulnerability in SearchPath Could Allow Elevation of Privilege (959426)
Status:
Patch OK Erklärung
