Microsoft: Bug bedroht verschlüsselte Kommunikation

Sicherheitslücke kann zur Manipulation von Zertifikaten genutzt werden Der Softwarekonzern Microsoft hat vor einer schwerwiegenden Sicherheitslücke in den meisten Versionen seines Betriebssystems Windows gewarnt. Diese entsteht durch einen Fehler in der Implementierung der Zertifikat-Abfrage in einem ActiveX-Control. Ein Angreifer kann darüber Rechner für weitere andere Angriffe verwundbarer machen. Dabei wird entweder per Webseite oder per HTML-Mail ActiveX-Code auf den Computer geschleust, der die vorhandene Sicherheitszertifikate löscht.

Anschließend ist beispielsweise kein gesicherter Schlüssel-Abgleich mehr möglich. Verschlüsselte Kommunikation über das Internet per Secure Sockets Layer (SSL) oder auch einige Kryptofunktionen für E-Mails würden nicht mehr funktionieren. Die Kommunikation des Nutzers wäre ab diesem Zeitpunkt komplett offengelegt. Auch das Encrypting File System (EFS) in Windows 2000 und XP könnte nicht mehr verwendet werden.

Microsoft teilte mit, dass Windows 98, 98 SE, Millennium, NT 4.0, 2000 und XP das fehlerhafte Control enthalten. Ein Patch steht im Microsoft Technet zum Download bereit.

Link: http://www.microsoft.com/technet/security/bulletin/MS02-048.asp

(pte)