Patches für Windows und Office erschienen (Update)

Zwei von vier Sicherheitslücken erlauben Codeausführung

Am November-Patchday beseitigt Microsoft mit zwei Patches insgesamt vier Sicherheitslücken. Sie betreffen die Windows-Plattform sowie die Office-Produkte und können teilweise zur Ausführung von Schadcode missbraucht werden.

Artikel veröffentlicht am 12. November 2008, 10:53 Uhr, Ingo Pakalski

Ein Sicherheitsleck im SMB-Protokoll betrifft alle Windows-Systeme, allerdings unterscheiden sich die Gefährdungsstufen. Auf Systemen mit Windows 2000, XP sowie Windows Server 2003 besteht eine hohe Gefährdung, weil Angreifer darüber schadhaften Programmcode ausführen können.

Das Risiko für Windows Vista und Windows Server 2008 stuft Microsoft nur als mittelschwer ein, weil die Dateifreigabe auf diesen Systemen nicht standardmäßig aktiviert ist. Für einen Angriff muss ein Angreifer einen Server bereitstellen, über den das Opfer manipulierten Code über das SMB-Protokoll empfängt. Mit dem bereitgestellten Patch soll das Sicherheitsloch geschlossen werden.

In den XML Core Services 3.0 bis 6.0 wurden insgesamt drei Sicherheitslücken gefunden. Über das eine Sicherheitsloch können Angreifer beliebigen Schadcode ausführen, während die beiden anderen Fehler zum Ausspähen vertraulicher Daten genutzt werden können. Ein Angreifer muss ein Opfer lediglich dazu verleiten, eine manipulierte Webseite mit dem Internet Explorer zu öffnen.

Die XML Core Services sind Bestandteil von Windows 2000, XP, Vista, Windows Server 2003, 2008 sowie den Office-Paketen 2003 und 2007. Auch der Word-Viewer 2003, das Office Compatibility Pack, Expression Web 1 und 2 sowie der SharePoint Server 2007 und Office Groove Server 2007 sind davon betroffen. Mit einem Patch werden die drei Fehler nun korrigiert.

Alle genannten Sicherheitspatches verteilt Microsoft auch über die Updatefunktion der betreffenden Produkte.

Nachtrag vom 12. November 2008, 12:58 Uhr:
In einem Blogbeitrag erklärte Microsoft, dass das Sicherheitsleck im SMB-Protokoll erstmals 2001 entdeckt wurde. Nach einer Wartezeit von sieben Jahren wurde dieser Fehler nun beseitigt.