|
 |
|
Internet Explorer mehrere Sicherheitslücken
|
|
|
|
|
Secunia Advisory:
|
SA21910
|
|
|
Herausgegeben:
|
2006-09-14
|
|
Last Update:
|
2006-11-16
|
|
|
Gefahrenstufe:
|
Extrem kritisch
|
|
Auswirkung:
|
Systemzugriff
|
|
Von Wo:
|
Aus dem Internet
|
|
Lösungsstatus:
|
Hersteller-Patch
|
|
| Software: | Microsoft Internet Explorer 5.01
Microsoft Internet Explorer 6.x
|
| | CVE reference: | CVE-2006-4446 (Secunia mirror)
CVE-2006-4687 (Secunia mirror)
CVE-2006-4777 (Secunia mirror)
CVE-2006-5884 (Secunia mirror)
|
|
|
Want to know the next time vulnerabilities are fixed in this product?
- Companies can be alerted via email and SMS! |
|
|
Beschreibung:
Einige Sicherheitslücken wurden im Internet Explorer gemeldet, die böswillige Personen ausnutzen können, um das System eines Benutzers zu kompromittieren.
1) Ein Fehler existiert in der "CPathCtl::KeyFrame()" Funktion in dem "Microsoft Multimedia Controls ActiveX Control" (daxctle.ocx). Dies kann ausgenutzt werden, um eine Speicherkorruption zu verursachen, indem man z.B. einen Benutzer dazu bringt ein bösartiges HTML Dokument zu betrachten, welches speziell präparierte Parameter an die "KeyFrame()" Methode des ActiveX Controls übergibt.
Eine erfolgreiche Ausnutzung erlaubt die Ausführung von beliebigem Code.
Hinweis: Ein halbwegs funktionsfähiges Exploit ist für teilweise gepatchte Versionen von Windows 2000 öffentlich verfügbar. Secunia hat jedoch ein voll funktionsfähiges Exploit für Windows XP SP2 (vollständig gepatcht) erstellt.
2) Ein Fehler in der "Spline()" Funktion in dem "Microsoft Multimedia Controls ActiveX Control" (daxctle.ocx) könnte ausgenutzt werden, um eine Speicherkorruption zu verursachen.
3) Ein Fehler in der Interpretation von HTML CSS "float" Eigenschaften in bestimmten Layout-Kombinationen, kann ausgenutzt werden, um eine Speicherkorruption zu verursachen. Dies kann ausgenutzt werden, um beliebigen Code auszuführen, indem man einen Benutzer dazu bringt eine speziell präparierte Website zu besuchen.
Do you have this product installed on your home computer? Scan using the free Personal Software Inspector. Check if a vulnerable version is installed on computers in your corporate network, using the Network Software Inspector.
Lösung:
Verwenden Sie die Patches.
Internet Explorer 5.01 SP4 auf Windows 2000 SP4:
http://www.microsoft.com/downloads/de...=B743B081-20D4-4C1C-BC86-254D2F653953
Internet Explorer 6 SP1 auf Windows 2000 SP4:
http://www.microsoft.com/downloads/de...=C65C8EE7-F78D-4D52-A20C-1F896E0DC0A8
Internet Explorer 6 für Windows XP SP2:
http://www.microsoft.com/downloads/de...=EA3CE61C-3A28-4777-9EEF-1486BB483C4F
Internet Explorer 6 für Windows XP Professional x64 Edition:
http://www.microsoft.com/downloads/de...=C535A36F-705E-4663-9EE4-B82632A50F0A
Internet Explorer 6 für Windows Server 2003 (optional mit SP1):
http://www.microsoft.com/downloads/de...=35EEF49C-E3D7-41EE-82F5-964A3959D453
Internet Explorer 6 für Windows Server 2003 für Itanium-basierte Systeme (optional mit SP1):
http://www.microsoft.com/downloads/de...=E8E03176-F93B-4DE7-AC95-01F9B1C5409C
Internet Explorer 6 für Windows Server 2003 x64 Edition:
http://www.microsoft.com/downloads/de...=ABE4FE3E-BDB6-44B1-B203-528C67980B8F
Gemeldet und/oder entdeckt von:
1-2) nop
3) Der Hersteller nennt Sam Thomas.
Änderungen:
2006-09-15: Microsoft, US-CERT und CVE-Referenzen hinzugefügt.
2006-09-18: CVE-Referenz hinzugefügt.
2006-09-29: "Lösung" aktualisiert und Version 5.01 als betroffen hinzugefügt.
2006-11-14: Weitere Informationen von Microsoft hinzugefügt. "Lösung" aktualisiert.
2006-11-15: Link zum US-CERT hinzugefügt- Weitere Informationen von ZDI hinzugefügt.
2006-11-16: CVE-Referenz hinzugefügt.
Original Advisory:
MS06-067 (KB922760):
http://www.microsoft.com/technet/security/Bulletin/MS06-067.mspx
Microsoft:
http://www.microsoft.com/technet/security/advisory/925444.mspx
Xsec:
http://www.xsec.org/index.php?module=releases&act=view&type=2&id=20
ZDI:
http://www.zerodayinitiative.com/advisories/ZDI-06-041.html
Andere Referenzen:
US-CERT VU#197852:
http://www.kb.cert.org/vuls/id/197852
US-CERT VU#377369:
http://www.kb.cert.org/vuls/id/377369
US-CERT VU#813588:
http://www.kb.cert.org/vuls/id/813588
|
|
|
|
|
Please note: The information that this Secunia Advisory is based on comes from a third party unless stated otherwise.
Secunia collects, validates, and verifies all vulnerability reports issued by security research groups, vendors, and others.
|
|
|
|
130 Related Secunia Security Advisories, displaying 10
|
|
|
1. Internet Explorer "Print Table of Links" Cross-Zone-Scripting
|
|
2. Internet Explorer FTP-Befehlsinjektion
|
|
3. Microsoft Internet Explorer Mehrere Sicherheitslücken
|
|
4. Internet Explorer mehrere Sicherheitslücken erlauben Codeausführung
|
|
5. Microsoft Web Proxy Auto-Discovery Sicherheitsproblem
|
|
6. Internet Explorer Data-Stream-Verarbeitung Sicherheitslücke
|
|
7. Internet Explorer Unspezifizierte Adresszeilenfälschung
|
|
8. Internet Explorer "OnKeyDown"-Event Fokus Schwachstelle
|
|
9. Microsoft Internet Explorer Preisgabe von FTP-Benutzerdaten
|
|
10. Microsoft Internet Explorer Mehrere Sicherheitslücken
|
Show all related advisories
|
|
|
Send Feedback to Secunia
|
|
If you have new information regarding this Secunia advisory or a product in our database, please send it to us using either our web form or email us at vuln@secunia.com.
Ideas, suggestions, and other feedback are most welcome.
|
|
|
|
|
|
Secunia PSI
Scan | Patch | Track
Free Download
|
|
|
Secunia Poll
|
|
|
|
|
 |
|
|
Most Popular Advisories
|
|
|
|
|
|
