Sicherheitslücke in Visual-Studio-ActiveX

[anisella]

Ein ActiveX-Modul aus Microsofts Entwicklungsumgebung Visual Studio 6, der Visual Database Tools Database Designer aus der Bibliothek VDT70.DLL, enthält eine Schwachstelle, die Angreifer aus dem Netz mit manipulierten Webseiten missbrauchen können. Durch einen Pufferüberlauf können sie Schadcode einschleusen, der mit den Rechten des angemeldeten Benutzers läuft.

Ein in der Exploit-Sammlung von milw0rm.com veröffentlichter Demo-Exploit führt die Lücke mit dem Internet Explorer 6 unter Windows XP SP2 mit allen aktuellen Patches vor.

Sicherheitsexperten haben die Lücke zunächst als Denial-of-Service-Schwachstelle eingestuft. Durch den jetzt veröffentlichten Exploit mussten sie die Einordnung jedoch korrigieren. Ein Patch von Microsoft ist bislang noch nicht verfügbar. Daher sollten betroffene Anwender entweder nach Microsoft-Anleitung das Killbit für das ActiveX-Modul setzen oder ActiveX für die Internetzone komplett deaktivieren und lediglich auf vertrauenswürdigen Seiten zulassen.

http://www.heise.de/newsticker/meldung/93945