11.10.2007 13:24
Alert! Kasperskys Online-Scanner installierte verwundbares ActiveX-Control
Die Versionsnummer des Controls lässt sich beispielsweise in den Dateieigenschaften anzeigen.
Der AV-Hersteller Kaspersky hat eine neue Version des ActiveX-Controls herausgegeben, das der Kaspersky Online Scanner auf den Rechnern seiner Anwender installiert. Das fehlerbereinigte Control mit dem Dateinamen kavwebscan.dll trägt die Versionsnummer 5.0.98.0. Der Hersteller behebt damit kritische Schwachstellen, durch die sich verwundbare Systeme beim Besuch manipulierter Webseiten mit dem Internet Explorer unter Umständen mit beliebigem Schadcode infizieren können.
Ursache des Problems sind laut einem iDefense-Advisory Format-String-Verwundbarkeiten in mehreren Funktionen des ActiveX-Controls, die in Version 5.0.93.0 nachgewiesen wurden, vermutlich aber auch in den Vorgängerversionen zu finden sind. Wer sich über die Version des installierten Controls informieren möchte, findet es im Ordner C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner. Wird die Versionsnummer nicht bereits zusammen mit dem Dateinamen angezeigt, lässt sie sich durch einen Rechtsklick auf das Icon und die Auswahl von "Eigenschaften" abrufen.
Wer in der Vergangenheit den Online-Scanner verwendet hat, sollte umgehend handeln. Um die neue Version des Controls zu installieren, genügt ein weiterer Start des Scanners. Auch das Löschen der verwundbaren DLL-Datei schafft Abhilfe. Das Setzen des Kill-Bits für das Control, das die ID 0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75 trägt, verhindert zwar ebenfalls, dass sich die Schwachstelle ausnutzen lässt, macht jedoch auch Kasperskys Online-Scanner funktionsunfähig.
Siehe dazu auch:
- Kaspersky Lab announces the release of a new version of its free Kaspersky Online Scanner, Meldung des Herstellers
- Kaspersky Web Scanner ActiveX Format String Vulnerability, Advisory von iDefense
(cr)
Cross-Site-Scripting (XSS) ist eine der größten Plagen, mit denen Webmaster zu kämpfen haben. Der neue Standard "Content Security Policy" soll endlich Abhilfe schaffen. 
Wie schwer ist es, einen Hotelsafe zu knacken? heise Security hat es spontan ausprobiert – mit einem überraschenden Ergebnis. 
Was ist echt und was ist falsch? Echte Benachrichtigungen von Firmen sind kaum noch von Phishingmails zu unterscheiden. Trotzdem wird von uns erwartet, dass wir den Durchblick behalten. So funktioniert das nicht. 
Die Weboberfläche zur Verwaltung von ProLiant- und Integrity-Servern enthält eine kritische Sicherheitslücke. 
Eine Lücke, viele Updates: Adobe hat ein kritisches Sicherheitsloch gestopft und neue Flash- und Air-Versionen für sämtliche Plattformen veröffentlicht. 
Am Juni-Patchday hat Microsoft zahlreihe Lücken in Windows, Internet Explorer und Office geschlossen. Eine Rechteausweitungslücke, für die bereits ein Exploit im Netz kursiert, hat die Redmonder Softwareschmiede dabei jedoch offenbar ausgelassen. 
