Drei Sicherheits-Patches von Microsoft - keiner für den IE

Das dritte Sicherheitsleck im Exchange Server 2004 stuft Microsoft als moderat ein. Über das Sicherheitsloch kann ein Angreifer per Outlook Web Access Zugang zu einem Exchange-Postfach erlangen, wenn das Postfach auf dem gleichen Back-End-Mailbox-Server liegt und außerdem das Postfach von dem autorisierten Nutzer zuvor genutzt wurde. Somit muss ein Angreifer auf dem Exchange-Server angemeldet sein und das betreffende Postfach kann nicht vorher bestimmt werden, so dass es vom Zufall abhängt, zu welchem Postfach der Angreifer theoretisch Zugang erlangen könnte.

Microsoft bietet Patches über die betreffenden Security Bulletins an; alternativ soll auch die Update-Funktion des Betriebssystems verwendet werden können. In den Security Bulletins finden sich Patches für die Microsoft Data Access Components (MDAC) der Versionen 2.5, 2.6, 2.7 und 2.8 in Windows 2000, SQL-Server 2000, Windows XP und Windows Server 2003 für die jeweiligen Plattformen. Auch für den Internet Security and Acceleration Server 2000, den Small Business Server 2000 und 2003 stehen passende Patches bereit, was gleichfalls für den Exchange Server 2003 gilt.

Im Oktober 2003 gab Microsoft eine neue Sicherheitsstrategie bekannt, wonach Sicherheits-Patches für Software nur noch einmal im Monat erscheinen und nur bei kritischen Fällen Patches außerhalb dieses Intervalls veröffentlicht werden. Damit reagierte Microsoft auf die starke Verbreitung des Blaster-Wurms und wollte damit die Sicherheit der Produkte erhöhen. Microsoft hält sich seit dieser Ankündigung daran, Security Bulletins nur noch einmal im Monat - dann meist im Paket - zu veröffentlichen. Allerdings scheint Microsoft von dem Vorhaben abgerückt zu sein, kritische Sicherheitslöcher unabhängig der monatlichen Intervalle zu bereinigen, da seitdem viele von Microsoft als kritisch eingestufte Sicherheitslecks nur an dem monatlichen "Patch-Day" erschienen sind. Für Unverständnis sorgt die Tatsache, dass das als kritisch eingestufte Sicherheitsloch im Internet Explorer vom Dezember 2003 weiterhin offen bleibt, da bislang kein Patch erschienen ist.