######################################################################
CERT-Bund -- Warn- und Informationsdienst
######################################################################
KURZINFORMATION ZU SCHWACHSTELLEN UND SICHERHEITSLUECKEN
ID: CB-K04/0902
Titel: Kumulativer Patch fuer Internet Explorer behebt mehrere
Schwachstellen
Datum: 13.10.2004
Software: Microsoft Internet Explorer
Version: IE 5.01, IE 5.5, IE 6
Plattform: Microsoft Windows
Auswirkung: Ausfuehren beliebigen Programmcodes mit
Benutzerrechten
Remoteangriff: Ja
Risiko: hoch
Bezug:
######################################################################
Ein neuer kumulativer Patch fuer den Internet Explorer patcht
verschiedene Schwachstellen, wovon einige es einem entfernten
Angreifer erlauben koennen, Code auf dem System mit den Rechten des
Benutzres auszufuehren.
o CAN-2004-0842: Speicherkorruption durch manipulierte Cascading Style
Sheet-Elemente
o CAN-2004-0727: Entfernet Codeausfuehrung und Umgehen des
Zonenmodells durch Funktionsumbenennung (function redirecting)
o CAN-2004-0216: Entfernte Codeausfuehrung durch eine nicht naeher
beschriebene Pufferueberlaufschwachstelle in der Internet Explorer
Install Engine
o CAN-2004-0839: Privilegieneskalation durch Schwachstelle in der
Verarbeitung von Drag'n Drop-Objekten im Internet Explorer
o CAN-2004-0844: Adressbar-Spoofing in der Anzeige von URLs auf
Double-Byte-Systemen bewirkt falsch angezeigte URLs
o CAN-2004-0843: Fehler in der Navigationssteuerung von Plugins
ermoeglicht URL-Spoofing
o CAN-2004-0841: Fehlerhafte Verarbeitung von Skripten in Image-Tags
ermoeglicht Privilegieneskalation
o CAN-2004-0845: SSL-Caching-Schwachstelle ermoeglicht das Erlangen
sensibler Informationen
[1]
[2]
[3]
[4]
[5]
[6]
[7]
[8]
Mit freundlichen Gruessen
das Team CERT-Bund
=================================================================
BSI - Bundesamt fuer Sicherheit in der Informationstechnik
Referat I 2.1 CERT-Bund
Telefon +49-228-9582-110 / FAX +49-228-9582-427
=================================================================
=======================================================================
HINWEIS:
Die Inhalte dieser Meldung repraesentieren den Kenntnisstand des BSI
zum Zeitpunkt der Versendung. Eine Haftung fuer eventuelle Schaeden
oder Konsequenzen, die durch die direkte oder indirekte Nutzung der
Inhalte entstehen, wird ausgeschlossen.
Diese Meldung kann unter Einhaltung des Urheberrechts im vollstaendigen
Wortlaut, ohne Aenderungen und mit BSI-Copyright-Informationen kopiert
und fuer den persoenlichen und privaten Gebrauch weitergeleitet werden.
Eine kommerzielle Nutzung ist ausdruecklich untersagt.
=======================================================================