MS02-008: XMLHTTP-Steuerelement in MSXML 2.6 kann Zugriff auf lokale Dateien zulassen

Es besteht ein Sicherheitsproblem, das es einem Angreifer ermöglichen könnte, Dateien auf dem lokalen Dateisystem eines Benutzers zu lesen, wenn dieser eine speziell fehlerhaft formatierte Website besucht.

Der Angreifer wäre allerdings nicht in der Lage, Dateien hinzuzufügen, zu ändern oder zu löschen. Auch wäre es dem Angreifer nicht möglich, diesen Angriff per E-Mail auszuführen. Diese Sicherheitsanfälligkeit kann nur über eine Website ausgenutzt werden. Kunden können das mit dieser Sicherheitsanfälligkeit verbundene Risiko reduzieren, indem sie beim Verwenden des Internets Vorsicht walten lassen und keine unbekannten oder nicht vertrauenswürdigen Sites besuchen.

Diese Sicherheitsanfälligkeit tritt auf, da das XMLHTTP-Steuerelement in den Microsoft XML Core Services die Einstellungen und Einschränkungen der Sicherheitszonen in Internet Explorer fehlerhaft interpretiert. Dadurch kann über eine Webseite eine Datei auf dem lokalen System des Benutzers als XML-Datenquelle angegeben und somit gelesen werden.

Ein Update zur Behebung dieses Problems ist inzwischen von Microsoft erhältlich; dieses Update wurde jedoch ausschließlich zur Behebung des in diesem Artikel beschriebenen Problems entwickelt. Es sollte nur auf Systemen installiert werden, die von einem Angriff dieser Art betroffen sein könnten. Überprüfen Sie Ihren Computer hinsichtlich physischer Verfügbarkeit, Netzwerk- und Internetverbindungen sowie weiterer Faktoren, um herauszufinden, inwieweit Ihr Computer von diesem Problem bedroht ist. Das entsprechende Microsoft Security Bulletin (http://www.microsoft.com/technet/security/bulletin/MS02-008.asp) kann Sie dabei unterstützen, diese Gefahr einzuschätzen. Dieses Update wird unter Umständen zu einem späteren Zeitpunkt weiteren Tests unterzogen. Microsoft empfiehlt, dieses Update sofort anzuwenden, falls Ihr System von diesem Problem betroffen sein könnte.

Wenn Sie das Problem sofort beheben möchten, downloaden Sie das Update wie im Folgenden beschrieben, oder wenden Sie sich an Microsoft Product Support Services, um das Update zu erhalten. Die Telefonnummern des Technischen Supports lauten:

Deutschland: 0180 567 23 30
Österreich: 01 50222 23 30
Schweiz: 0848 80 23 30

Alternativ erhalten Sie auch eine vollständige Liste mit Telefonnummern der Microsoft Product Support Services unter der folgenden Adresse im World Wide Web:

Die folgende Datei steht im Microsoft Download Center zum Download zur Verfügung:
Datum der Freigabe: 21. Februar 2002

Weitere Informationen zum Downloaden von Microsoft Support-Dateien finden Sie in folgendem Artikel der Microsoft Knowledge Base: Microsoft hat diese Datei auf Viren überprüft. Microsoft hat dazu die neueste Software zur Virenerkennung verwendet, die zum Zeitpunkt der Bereitstellung verfügbar war. Die Datei befindet sich auf Servern mit verstärkter Sicherheit, wodurch nicht autorisierte Änderungen an der Datei weitestgehend verhindert werden. Die englische Version dieses Updates sollte die folgenden Dateiattribute (oder höher) aufweisen:
Hinweis: Verwenden Sie die folgenden Befehlszeilenoptionen, um das Update im Hintergrund und ohne Neustart zu installieren: /q:a /c:"dahotfix /q /n"

Microsoft hat bestätigt, dass dieses Problem in gewissem Maße ein Sicherheitsproblem in Microsoft XML 2.0 zur Folge haben kann.

Betroffene Versionen von MSXML werden als Bestandteil verschiedener Produkte ausgeliefert. Das Update sollte auf Systemen angewendet werden, auf denen eines der folgenden Microsoft-Produkte installiert ist:

• Microsoft Windows XP
• Microsoft Internet Explorer 6.0
• Microsoft SQL Server 2000

MSXML kann auch separat installiert werden. MSXML wird in diesem Fall als DLL im Unterordner "System32" des Ordners für das Windows-Betriebssystem installiert. Bei den meisten Systemen handelt es sich dabei um den Ordner "C:\Windows" oder "C:\winnt". Wenn sich in Ihrem Ordner "System32" eine oder alle der folgenden Dateien befinden, benötigen Sie das Update:

• Msxml2.dll
• Msxml3.dll
• Msxml4.dll

Wenn sich lediglich die Datei "Msxml.dll" in dem Ordner befindet, benötigen Sie das Update nicht, da es sich dabei um eine ältere Version handelt, die nicht betroffen ist.

Weitere Informationen zu dieser Anfälligkeit finden Sie auf folgender Website von Microsoft: Verwenden Sie die folgenden Befehlszeilenargumente, um diesen Hotfix im unbeaufsichtigten Modus zu installieren.

Unbeaufsichtigte Installation des Hotfixes, bei der sowohl ein Dialogfeld für für die Extrahierung des Hotfixes als auch ein Dialogfeld für den Neustart angezeigt wird: Unbeaufsichtigte, vollständig im Hintergrund ablaufende Installation des Hotfixes, bei der ein abschließendes Dialogfeld für den Neustart angezeigt wird: Unbeaufsichtigte, vollständig im Hintergrund ablaufende Installation des Hotfixes, bei der die Anzeige des abschließenden Dialogfeldes für den Neustart unterdrückt wird: