Sicherheitspatch

[Steffen]

Hallo,

ist dieser/dieses Sicherheitspatch nur für Version 1.1.4 oder benötigt man es auch bei Version 1.1.2?


Gruß Steffen

[Noodles]

Gelöscht da Doppelpost

Sorry
Noodles

[Noodles]

Hallo Steffen

ist dieser/dieses Sicherheitspatch nur für Version 1.1.4 oder benötigt man es auch bei Version 1.1.2?

Das steht auf der Seite.

Von diesem Fehler sind OpenOffice.org 1.1.0 bis einschließlich 1.1.4 sowie die aktuellen Beta-Versionen von OpenOffice.org 2.0 betroffen. Der Fehler tritt unter allen unterstützten Betriebssystemen auf.

Hier noch der komplette Text der Seite ( hoffe ich )

------------- Anfang ------------

Sicherheitspatch für OpenOffice.org 1.1.4
Patch beseitigt mögliches Sicherheitsrisiko in OpenOffice.org 1.1.4

Die OpenOffice.org-Community stellt einen Patch bereit, der einen Fehler beim Laden von Word-Dateien beseitigt. Vor einigen Tagen wurde von einem möglichen Sicherheitsrisiko auf der Sicherheitsmailingliste Bugtraq berichtet (http://www.derkeiler.com/Mailing-Lists/ ... /0150.html) Dieses Sicherheitsrisiko tritt beim Laden von Word-Dateien auf, die einen Programmfehler von OpenOffice.org gezielt ausnutzen. Beim Aufrufen einer solchen Datei werden Daten in falsche Speicherbereiche geschrieben. Ein Absturz von OpenOffice.org kann die Folge sein. Theoretisch ist es möglich, dass dadurch auch präparierter Programmcode ausgeführt wird. Bislang ist ein entsprechender Angriff aber nicht bekannt.

Von diesem Fehler sind OpenOffice.org 1.1.0 bis einschließlich 1.1.4 sowie die aktuellen Beta-Versionen von OpenOffice.org 2.0 betroffen. Der Fehler tritt unter allen unterstützten Betriebssystemen auf.

Für OpenOffice.org 1.1.4 (Linux, Solaris Sparc, Solaris x86, Windows und Mac OSX) stehen ab sofort entsprechende Patches bereit.

In den kommenenden Versionen von OpenOffice.org 1.1 (1.1.5) und den Beta-Versionen (ab 1.9.95) wird der Fehler natürlich beseitigt sein.

Download der Patch-Dateien:

Sie können den Patch über unsere Downloadseite http://de.openoffice.org/downloads/quick.html herunterladen. (Wählen Sie das gewünschte Betriebssystem und den 2. Eintrag "1.1.4 SecPatch" als Version.) Alternativ können Sie beliebigen Mirror verwenden. Sie finden den Patch im Verzeichnis stable/1.1.4secpatch/

Laden Sie bitte für Ihr Betriebssystem die entsprechende Datei herunter.

Windows - sot645mi.dll
Linux - libsot645li.so
Solaris x86 - libsot645si.so
SolarisSparc - libsot645ss.so
Mac OSX - libsot645mxp.dylib

Hinweis: im Moment sind noch nicht alle Mirrorserver mit den Dateien bestückt, wählen sie bei Downloadproblemen also einen alternativen Server.

Installation des Patches

Hinweis: Auf einem Betriebssystem für mehrere Benutzer (Linux, Solaris, Windows NT/2000/XP) müssen Sie als Administrator / root angemeldet sein!

1) Laden Sie die entsprechende Datei für Ihr Betriebssystem herunter.

2) Prüfen Sie die md5-Summe der Datei.

3) Beenden Sie OpenOffice.org, auch den Schnellstarter.

4) Öffnen Sie das Verzeichnis, in das Sie OpenOffice.org installiert haben.

5) Öffnen Sie dort das Unterverzeichnis "program"

6) Suchen Sie dort die Datei mit dem gleichen Namen wie die heruntergeladene, z.B. unter Windows "sot645mi.dll".

7) Machen Sie von davon eine Sicherheitskopie in einen anderen Ordner.

8 ) Kopieren Sie die heruntergeladene Datei in das Verzeichnis "program". Die alte Datei wird dabei überschrieben. Hinweis: Eventuell müssen Sie vorher den Schreibschutz der alten Datei entfernen.

9) Starten Sie OpenOffice.org wieder.

----------- Ende ----------

Greetz
Noodles

[Steffen]

Hallo Noodles,

vielen Dank für deine schnelle Antwort.
Da werde ich gleich mal das/den Patch installieren.


Gruß Steffen

[Noodles]

Hi Steffen

Gern geschehen.

Greetz
Noodles

[Stephan]

Mir ist nicht ganz klar wie ich das Ergebnis des Threads bewerten soll. Die Situation ist aber die das mehr als nur Version 1.1.4 von der Sicherheitslücke betroffen ist - jedoch der Patch ist nur für die 1.1.4-Version offiziell freigegeben, so das praktischerseits für alle anderen Versionen zunächst ein Update auf 1.1.4 erfolgen müßte.


Gruß
Stephan

[Steffen]

Hallo Stephan,

ich habe nicht auf 1.1.4 geupdatet, sondern nur dieses Patch installiert.
Bedeutet das jetzt, dass mein OpenOffice sowie mein PC trotzdem nicht sicherer sind ohne dieses 1.1.4 Update?



Gruß Steffen

[Stephan]

Bedeutet das jetzt, dass mein OpenOffice sowie mein PC trotzdem nicht sicherer sind ohne dieses 1.1.4 Update?

Was bitte soll ich darauf antworten?
Die Entwickler des patches bestätigen das dieser nur für 1.1.4 offiziell zugelassen ist. So ist die Situation.
Tut mir leid, ich will nicht unhöflich sein, nur so ist die Situation nach der ich mich extra auf der dev-mailingliste erkundigt habe bevor ich hier eine Antwort schrieb.

Das Orginalzitat ist:
"...
All users of OpenOffice.org 1.1.4 are urged to download and install this security patch. It addresses a problem noted in a recent advisory. That advisory states that there is a security risk in all circulating releases of OpenOffice.org. This patch fixes the problem in 1.1.4 but not in earlier or subsequent releases.

We suggest that users of releases prior to 1.1.4 upgrade by downloading either 1.1.4 and the patch, or waiting until a modified version of 2.0beta is released. That should be very soon.
..."

Der fette Abschnitt (sinngemäß):
'dieser patch behebt das Problem in 1.1.4 aber nicht in Vorläufer- oder Nachfolgeversionen'


Gruß
Stephan

[Steffen]

Hallo Stephan,

vielen Dank für die ausführliche Anwort sowie die Mühe, die du dir gemacht hast.

Endschuldige bitte, dass ich dich damit belästigt habe.


Gruß Steffen

[Stephan]

Hallo Steffen,

Endschuldige bitte, dass ich dich damit belästigt habe.

Nein, das hast Du nicht.
Es ist nur leider so das ich nur das weitergeben kann was die Entwickler über ihren Patch sagen. Für Dich ist das in der konkreten Situation blöd, bloß wenn ich jetzt versuchsweise bei mir den Patch auch auf 1.1.2 installieren würde könnte ich Dir trotzdem nicht sagen ob das sicher ist oder nicht.
Ich muß genau wie Du allein darauf vertrauen was die Entwickler verlautbaren und das ist leider im Konkreten wenig hilfreich für Dich.


Gruß
Stephan

[tt]

Sorry, aber

A:was bedeutet denn bitte (für die Installation):

"Prüfen Sie die md5-Summe der Datei"?
bzw. - wie es auf der Download-Seite steht:
"Nach dem Download sollten Sie die Dateien anhand der md5-Summe überprüfen."

1. Ist das in jedem Fall unbeding notwendig, oder kann ich es, da nicht kapiert, auch einfach weglassen?
2. Was ist denn bitte eine md5-Summe?
3. die md5-Summe welcher Datei
4. Wie soll man die prüfen - und auf welches ergebnis soll man kommen?
5. Einmal soll man die Summe prüfen, eim anderen Mal Dateien ANHAND, also mit (?) der Summe.

B: (aus "Beenden Sie OpenOffice.org, auch den Schnellstarter")
6. Was ist denn bitte der Schnellstarter?

1000 Dank schonmal!

[Stephan]

Ist das in jedem Fall unbeding notwendig, oder kann ich es, da nicht kapiert, auch einfach weglassen?

Mit der Prüfsumme überprüftst Du ob die Installationsdateien in Ordnung sind. Tust Du das nicht sind die in Ordnung oder nicht nur Du weißt es ebend nicht. Verwendest Du Sie ohne Prüfung können sie falls sie nicht in Ordnung nicht funktionieren.

Was ist denn bitte eine md5-Summe?

Eine "Zahl" die charakteristisch für eine spezifische Datei ist, meinethalben sowas wie ein Fingerabdruck der Datei.
http://de.wikipedia.org/wiki/MD5

die md5-Summe welcher Datei

des Installationsarchivs

Wie soll man die prüfen - und auf welches ergebnis soll man kommen?

Man soll so prüfen wie beschrieben:

http://de.openoffice.org/downloads/hinw ... sumwindows

Das Ergebnis ist eine MD5-Prüfsumme für das vorliegende Installationsarchiv, ist diese identisch mit der veröffentlichten Prüfsumme ist das Archiv in Ordnung.

Einmal soll man die Summe prüfen, eim anderen Mal Dateien ANHAND, also mit (?) der Summe.

Naja, das sind dann nur 2 verschiedene Formulierungen, es geht nur darum die MD5-Prüfsumme des Dir vorliegenden Installationsarchivs zu ermitteln und zu vergleichen ob diese identisch mit der veröffentlichten ist, ist das der Fall ist Dein Installationsarchiv in Ordnung.

Du lädst das Installationsarchiv herunter, für OOo1.1.4 beispielsweise OOo_1.1.4_Win32Intel_install_de.zip, danach erzeugst Du wie beschrieben die Prüfsumme dieses Archivs und vergleichst diese mit der veröffentlichten Summe unter:
http://de.openoffice.org/md5sums.txt
sind beide gleich ist das Installationsarchiv in Ordnung.

Was ist denn bitte der Schnellstarter?

Der Schnellstarter ist eigentlich ein kleines Programm (quickstart.exe) das bestimmte Bibliotheken von OpenOffice.org in den Arbeitsspeicher lädt um den Programmstart zu beschleunigen. Es gibt bei Windows im Systray ein Icon, das anzeigt das der Schnellstarter aktiv ist, erzeuge auf diesem Icon das Kontextmenü und wähle "Schnellstarter beenden".


Gruß
Stephan

[tt]

Danke sehr auch hier!

Ist das in jedem Fall unbedingt notwendig, oder kann ich es auch einfach weglassen?

Mit der Prüfsumme überprüftst Du ob die Installationsdateien in Ordnung sind. Tust Du das nicht sind die in Ordnung oder nicht nur Du weißt es ebend nicht.

O.k., aber kapieren tu ich's immer noch nicht so recht:
- Es ist doch nun mal nicht Standard, dass man für jedes Programm, dass man runterlädt, (so) eine Prüfung durchführen muss. Normalerweise muss man doch höchstens auf die .exe-Datei klicken und das Ganze installieren. Jeder reine Nutzer muss sich doch diese Frage stellen - und viele werden direkt aufgeben.
- Wie wäre es denn überhaupt möglich, dass eine von der offiziellen Seite geladene Datei eine andere Prüfsumme hat, als sie sollte? Oder mit anderen Worten: Kommt es denn überhaupt vor, dass die Prüfsummen verschieden sind?

Was ist denn bitte eine md5-Summe?

Eine "Zahl" die charakteristisch für eine spezifische Datei ist, meinethalben sowas wie ein Fingerabdruck der Datei.
http://de.wikipedia.org/wiki/MD5

Danke für den Link! Aber was DA steht, ist ja nun für einen einfachen Nutzer totales Kauderwelsch. Man versteht ja noch nicht mal, was dies MD5 eigentlich ist (eine "Hash-Funktion")!?

die md5-Summe welcher Datei

des Installationsarchivs

Aber woher soll man das wissen?

Wie soll man die prüfen - und auf welches ergebnis soll man kommen?

Man soll so prüfen wie beschrieben:
http://de.openoffice.org/downloads/hinw ... sumwindows
Das Ergebnis ist eine MD5-Prüfsumme für das vorliegende Installationsarchiv, ist diese identisch mit der veröffentlichten Prüfsumme ist das Archiv in Ordnung.

Wieder: Woher soll man DAS wissen? Bzw. den Link kennen?
Und: Kann es wirklich sein, das jeder, um das Programm sicher zu verwenden, so komplizierte Vorgänge erledigen, quasi zum "Programmierer" werden muss? Ich mein, ich hab in meinem LEBEN noch kein DOS-Fenster geöffnet ...!

Nun ja - ich hab's einfach mal probiert. Aber geklappt hat es nicht!
Wenn ich im geöffneten DOD-Fenster "cd Eigene Dateien\Downloads" eingebe, kommt die Meldung: "Zu viele Parameter - Dateien\Downloads"
Also stecke ich fest!
Hat das mit dem unter 3. folgenden Hinweis "..sollten unter Windows 9x bis ME max. acht Zeichen als Pfadangabe verwendet werden" zu tun?
Auch DEN hab ich nicht verstehen können! (Ich weiß zwar, dass man früher Dateien nur mit 8 Zeichen benennen sollte, aber) WO sollen nur 8 Zeichen verwendet werden? Was heißt "als Pfadangabe"?

Was ist denn bitte der Schnellstarter?

..Programm (quickstart.exe) das bestimmte Bibliotheken von OpenOffice.org in den Arbeitsspeicher lädt um den Programmstart zu beschleunigen. Es gibt bei Windows im Systray ein Icon, das anzeigt das der Schnellstarter aktiv ist, erzeuge auf diesem Icon das Kontextmenü und wähle "Schnellstarter beenden".

Systray? Ist das der englische, oder der Fach-Begriff für die Taskleiste? Also die unterste Zeile? Oder nur so etwas Ähnliches?

Da unten liegt jedenfalls immer das OO-Symbol.
Aha - und "das" kann ich auch beenden, wie beschrieben.

Aber gleich noch 2 Fragen DAzu:
Ich hab mir zwar schon gedacht, dass das so eine Art Halbstart von OO ist, aber ich finde, es funktioniert nicht so recht!
Denn: 1. Dauert es immer recht lange, bis das Symbol überhaupt erscheint (wohl = bis jene Bibliotheken geladen sind!?) - ich muss also bei jedem PC-Start so 20-50 Sekunden warten, bis endlich auch jenes letzte Symbol d rechts unten erscheint -, und
2. dauert es dan, wenn ich links unten auf das OO-Writer-Symbol klicke, TROTZDEM immer noch 30-60 Sekunden, bis sich der Writer öffnet.
Ist das Beides normal, oder sollte es schneller gehen => muss ich etwas ändern?

[Stephan]

- Es ist doch nun mal nicht Standard, dass man für jedes Programm, dass man runterlädt, (so) eine Prüfung durchführen muss.

richtig, nur das ist es bei OOo auch nicht (i.S. "muss"). Es ist ein Angebot für die User um sicher zugehen das die Dateien in Ordnung sind.

Jeder reine Nutzer muss sich doch diese Frage stellen - und viele werden direkt aufgeben.

Es ist vollkommen in Ordnung wenn Du hier nachfragst, nur das Du durch etwas was Du nicht verstehst so verunsichert bist ist unnötig.
Du kannst (nicht mußt, aber solltest und auch letzteres ist Dir völlig freigestellt) die Prüfung durchführen. Die Veröffentlichung der Prüfsummen ist ein Angebot die zu nutzen, kein Zwang.
(Sicherlich steht in der Straßenverkehrsordnung 'Du mußt einen Sicherheitsgurt im Auto anlegen', was doch nun wirklich nicht heißt das sonst das Auto nicht funktioniert.)

Wie wäre es denn überhaupt möglich, dass eine von der offiziellen Seite geladene Datei eine andere Prüfsumme hat, als sie sollte? Oder mit anderen Worten: Kommt es denn überhaupt vor, dass die Prüfsummen verschieden sind?

Die Datei kann beim Upload auf den Server fehlerhaft übertragen worden sein, der Server kann mutwillig gehackt worden sein, die Datei kann beim Download falsch übertragen worden sein...

Danke für den Link! Aber was DA steht, ist ja nun für einen einfachen Nutzer totales Kauderwelsch. Man versteht ja noch nicht mal, was dies MD5 eigentlich ist (eine "Hash-Funktion")!?

Ja, ich fürchte nun bloß was soll ich noch erklären, ich habe es wirklich sehr verständlich gesagt:

meinethalben sowas wie ein Fingerabdruck der Datei.

Hast Du zwei Fingerabdrücke und die sind gleich stammen sie vom selben Menschen, hast Du zwei MD5-Summen und die sind gleich sind es die Summen von zwei gleichen Dateien (2 gleiche Dateien im Sinne meinethalben von Orginal und Kopie, bei Menschen würde das Klonen heißen...)

Aber woher soll man das wissen?

Naja, es ist auf der OpenOffice-Seite beschrieben

Wieder: Woher soll man DAS wissen? Bzw. den Link kennen?
Und: Kann es wirklich sein, das jeder, um das Programm sicher zu verwenden, so komplizierte Vorgänge erledigen, quasi zum "Programmierer" werden muss? Ich mein, ich hab in meinem LEBEN noch kein DOS-Fenster geöffnet ...!

Ja wieder es steht auf der OOo-Seite. Mit Programmieren hat das nun wirklich nichts zu tun und das mit dem speziellen Programm zu machen ist kein Zwang sondern nur ein Weg. Es gibt dutzende Programme hierfür im Netz, auch mit grafischer Oberfläche.

Hat das mit dem unter 3. folgenden Hinweis "..sollten unter Windows 9x bis ME max. acht Zeichen als Pfadangabe verwendet werden" zu tun?

Nein, das hat mit dem Leerzeichen in "Eigene Dateien" zu tun (der cd-Befehl nimmt an das Du in den Ordner "Eigene" wechseln willst, aber der existiert nicht). Du mußt Pfade mit Leerzeichen in "" setzen, also:
cd "Eigene Dateien\Downloads"
außerdem mußt Du im richtigen Verzeichnis sein ... wird jetzt wohl zu viel, rufe über Start>Hilfe die Windowshilfe auf und suche nach cd oder cd-Befehl, da ist das alles erklärt

Auch DEN hab ich nicht verstehen können! (Ich weiß zwar, dass man früher Dateien nur mit 8 Zeichen benennen sollte, aber) WO sollen nur 8 Zeichen verwendet werden? Was heißt "als Pfadangabe"?

Wie arbeitest Du denn mit einem Computer ohne zu wissen was eine Pfadangabe ist?

Das hier ist eine:
C:\Dokumente und Einstellungen\BlaBla\Eigene Dateien\
Mit "8 Zeichen Schreibweise" würde das (normalerweise) nach Windows-Logik so heißen:
C:\Dokume~1\BlaBla\Eigene~1\

Systray? Ist das der englische, oder der Fach-Begriff für die Taskleiste?

Nein.

Oder nur so etwas Ähnliches?

So ähnlich. Der Systray ist bei Windows der Bereich wo die Uhr ist, nur der Bereich der "vertieft" dargestellt wird.

wohl = bis jene Bibliotheken geladen sind!?)

Ja, im Prinzip korrekt

bei jedem PC-Start so 20-50 Sekunden warten
...
2. dauert es dan, wenn ich links unten auf das OO-Writer-Symbol klicke, TROTZDEM immer noch 30-60 Sekunden, bis sich der Writer öffnet.
Ist das Beides normal, oder sollte es schneller gehen => muss ich etwas ändern?

Die Zeitangaben in Sekunden werden je nach dem speziellen Computer wo OOo installiert ist verschieden sein. 20 Sekunden bei Booten bis das Icon des Schnellstarters sichtbar ist hielte ich pauschal in jedem Fall für normal, vielleicht ist 50 Sekunden ein wenig lang
Ohne jetzt mein System darzulegen habe ich gerade mal gestoppt und es dauert 45s von dem Moment wo ich den Desktop sehe bis ich das Schnellstarter-Icon sehe
(... nur Du kannst das so auch garnicht wirklich beurteilen weil ja beim Start viele Prozesse nebeneinander laufen, was erstens heißt der Start des Schnellstarters beginnt nicht in dem Moment wo Du des Desktop siehst und der Start des Schnellstarters läuft beim Booten parallel zu anderen Prozessen die alle gleichzeitig "loslegen" wollen ...)
Wenn der Schnellstarter läuft und dann Writer beim Starten nochmal 30 bis 60 Sekunden braucht ist das etwas lang, aber wieder Systemabhängig. Ist beispielsweise der Hauptspeicher knapp müssen ja ständig Programmteile bei Starten auf die Festplatte ausgelagert werden auch verlangsamen viele installierte Wörterbücher den Start.
Dauert bei mir so 6s.
Du kannst so gesehen nicht wirklich was ändern, außer:
*mehr Hauptspeicher, wenn der knapp ist, einbauen
(kann ich pauschal keinen Wert sagen, meiner persönlichen Meinung nach sind 64MB freier Hauptspeicher für OOo eher knapp und 128 MB noch nicht zwingend reichlich, meiner persönlichen Meinug nach...)
*weniger Wörterbücher installieren, wenn viele installiert sind
(das Handbuch sagt wohl maximal 10, aber ich nehme an 10 sind schon merklich viele - ohne es getestet zu haben)
*mal die Festplatte defragmentieren?

Bloß ingesamt wird OOo niemals rasend schnell starten, da mußt Du leider mit leben.


Gruß
Stephan