Gefährliche Sicherheitslücken in Silverlight

Noch ein Patch betrifft alle Windows-Versionen bis auf Windows XP und Windows Server 2003. Zwei Sicherheitslücken in der Windows-Funktion "Ablaufverfolgung für Dienste" erlauben einem Angreifer, sich mehr Rechte zu verschaffen. Beide Fehler erfordern, dass sich der Angreifer am System anmelden kann. Mit dem Patch sollen die beiden Fehler korrigiert werden.

Zwei weitere Sicherheitslücken betreffen sowohl das .Net Framework als auch Silverlight. Beide Sicherheitslücken können zur Ausführung von Schadcode missbraucht werden, indem ein Opfer zum Öffnen einer manipulierten Webseite verleitet wird. Der Patch steht sowohl für das .Net Framework als auch für Silverlight 2 und 3 als Download zur Verfügung.

Office-Software mit Sicherheitslöchern

Insgesamt zwei Patches hat Microsoft für die Office-Software des Unternehmens veröffentlicht. Der eine Patch korrigiert vier gefährliche Sicherheitslücken in der Textverarbeitung Word. Angreifer können darüber beliebigen Programmcode einschleusen. Nur Office 2010 ist von den Fehlern nicht betroffen. Der Patch für alle Office-Versionen steht als Download zur Verfügung.

In Excel wurde nur ein Sicherheitsleck beseitigt, das ebenfalls zur Codeausführung missbraucht werden kann. Mit einem Patch für Excel 2002, 2003, 2004 für Mac und 2008 für Mac soll das Sicherheitsloch geschlossen werden. Der Patch korrigiert den Fehler auch im Open-XML-Dateiformatkonverter für Mac.

Anfang August 2010 hatte Microsoft unabhängig vom monatlichen Patchday ein Windows-Update veröffentlicht. Der Patch hat das Lnk-Sicherheitsloch beseitigt, das bereits aktiv ausgenutzt wurde. Ansonsten wäre dieser Patch wohl am regulären Patchday erschienen und Microsoft hätte sogar 15 Patches veröffentlicht, mit denen 35 Sicherheitslücken geschlossen werden.

Ein Sicherheitsloch in Windows bleibt offen

Das am vergangenen Wochenende entdeckte Windows-Sicherheitsloch in der Datei win32k.sys hat noch keinen Patch erhalten. Dafür hat Microsoft die Untersuchungen des Sicherheitslecks abgeschlossen. Demnach wird das Sicherheitsleck als wenig gefährlich eingestuft, denn es lässt sich nur lokal ausnutzen. Der Angreifer muss also Zugang zu dem betreffenden System haben und sich vor Ort anmelden. Aus der Ferne kann das Sicherheitsleck demnach nicht ausgenutzt werden. Microsoft will einen Patch dafür veröffentlichen, verriet aber noch nicht, wann dieser erscheinen wird.

Alle aufgeführten Patches können über die betreffenden Security Bulletins sowie über die Updatefunktion der Produkte geladen werden.