Endlich: Microsoft schließt Office-Sicherheitslücken

Ebenfalls mit einem Patch bedacht wird die HTML-Hilfe von Windows, die ein Sicherheitsleck in einem ActiveX-Steuerelement der Komponente aufweist. Mit einer speziell gestalteten Webseite könnte ein Angreifer beliebigen Code ausführen und sich eine umfassende Kontrolle über ein fremdes System verschaffen. Ein anderes Sicherheitsloch betrifft den OLE-Dialog von Windows und gestattet einem Angreifer, über eine präparierte RTF-Datei beliebigen Programmcode auszuführen.

Mit einem weiteren Patch schließt Microsoft eine Sicherheitslücke in Windows und in Visual Studio, worüber beliebiger Code ebenfalls durch eine manipulierte RTF-Datei ausgeführt werden kann. Verantwortlich dafür ist ein Fehler in der MFC-Komponente der beiden Produktgruppen. Microsoft korrigiert außerdem einen Fehler in der Komponente "Interaktives Training - Schritt für Schritt", die Bestandteil zahlreicher Microsoft-Produkte ist. Mit Hilfe einer präparierten Lesezeichen-Linkdatei könnten Angreifer beliebigen Code starten.

Darüber hinaus hat Microsoft ein Sicherheitsleck in mehreren Antiviren-Lösungen gefunden und nun mit einem Patch bedacht. Bei der Analyse von PDF-Dokumenten kommt es zu einem Fehler, so dass Angreifer mit einer speziell gestalteten PDF-Datei beliebigen Programmcode ausführen können. Der Sicherheits-Patch korrigiert den Fehler in Windows Live OneCare, Antigen für Exchange Server 9.x sowie für SMTP-Server 9.x, Windows Defender und den Forefront Security Server für Exchange Server 10 sowie für SharePoint Server 10.

Ein weiteres Sicherheitsleck betrifft die Windows Shell und die Windows-Hardware-Erkennung. Darüber kann sich ein am System angemeldeter Nutzer höhere Benutzerrechte verschaffen, indem er die Hardware-Erkennung und ein Initialisierungsereignis aufruft. Die Sicherheitslücke wurde für Windows XP sowie Windows Server 2003 bestätigt.

Der Windows-Bilderfassungsdienst in Windows XP weist ebenfalls ein Sicherheitsloch auf, über das Angreifer höhere Rechte erhalten können, indem eine entsprechend präparierte Anwendung ausgeführt wird. Hierfür muss die betreffende Person am System angemeldet sein und es ist kein Angriff aus der Ferne möglich.

Keines der im Zuge des diesmonatigen Patch-Days behandelten Sicherheitslecks betrifft nach Microsoft-Angaben Windows Vista. Es ist also möglich, dass die verbesserten Sicherheitsfunktionen in Windows Vista verhindern, dass vergleichbare Angriffe auf der neuen Windows-Version möglich sind.