Microsoft-Patchday: Microsoft schließt 18 gefährliche Sicherheitslücken
Im Internet Explorer muss Microsoft gleich fünf gefährliche Sicherheitslecks beseitigen, über die sich Schadcode ausführen lässt. Ein weiteres Sicherheitsloch kann zum Ausspähen vertraulicher Daten missbraucht werden. Alle sechs Sicherheitslücken im Internet Explorer sollen mit einem Patch geschlossen(öffnet im neuen Fenster) werden.
Die XML Core Services 3.0 von Windows weisen ein gefährliches Sicherheitsloch auf, über das sich beliebiger Programmcode ausführen lässt. Ein Opfer muss lediglich dazu verleitet werden, eine entsprechend manipulierte Webseite zu öffnen. Der Patch für alle Windows-Versionen(öffnet im neuen Fenster) soll das Sicherheitsleck schließen.
Gefahr beim Öffnen von Mediadateien
Ein ebenfalls als gefährlich eingestuftes Sicherheitsloch betrifft die Directshow-Funktionen in Windows. Der eigentliche Fehler befindet sich im MPEG-Layer-3-Audiocodec, so dass dieser auftritt, wenn Dateien darüber abgespielt werden. Ein Angreifer kann entweder eine entsprechend präparierte Datei verteilen oder diese per Streaming anbieten. Wird diese dann unter Windows XP oder Windows Server 2003 geöffnet, kann beliebiger Programmcode ausgeführt werden. Mit dem bereitgestellten Patch(öffnet im neuen Fenster) soll der Fehler abgestellt werden.
Auch der Cinepack-Codec von Windows XP, Vista und 7 weist ein gefährliches Sicherheitsloch auf. Der Fehler erlaubt das Ausführen beliebigen Codes und kann ausgenutzt werden, indem einem Opfer eine entsprechend präparierte Mediendatei zum Öffnen vorgelegt wird. Der veröffentlichte Patch(öffnet im neuen Fenster) soll den Fehler korrigieren.
Sicherheitsloch in TLS-/SSL-Funktionen wird geschlossen
Drei weitere Sicherheitslücken wurden im SMB-Server von Windows entdeckt. Zwei der Fehler können für eine Denial-of-Service-Attacke genutzt werden. Das dritte Sicherheitsloch erlaubt sogar die Ausführung beliebigen Programmcodes. Alle drei Fehler werden mit einem Patch für alle Windows-Ausführungen(öffnet im neuen Fenster) beseitigt.
Fehler in Movie Maker
Ein gefährliches Sicherheitsleck wurde in Movie Maker gefunden, der Bestandteil von Windows XP respektive Windows Vista ist. Ein Sicherheitsloch in Movie Maker erlaubt es einem Angreifer, beliebigen Programmcode auszuführen. Er muss sein Opfer lediglich dazu verleiten, eine entsprechend präparierte Movie-Maker-Projektdatei zu öffnen. Mit dem Patch für Movie Maker 2.6 und 6.0(öffnet im neuen Fenster) soll der Fehler beseitigt werden.
Mit einem Patch wird das seit Februar 2010 bekannte Sicherheitsloch in den TLS-/SSL-Funktionen von Windows beseitigt. Der Fehler erlaubte Spoofing-Angriffe, indem Opfer zum Aufruf einer entsprechend präparierten Webseite verleitet wurden. Das Sicherheitsloch wurde nach Aussage von Microsoft bislang nicht ausgenutzt. Zudem korrigiert der Patch ein bislang nicht bekanntes Sicherheitsloch in den TLS-/SSL-Funktionen. Darüber kann ein Angreifer Schadcode ausführen, so dass der Fehler als gefährlich eingestuft wird. Der Patch für alle Windows-Systeme(öffnet im neuen Fenster) soll die beiden Sicherheitslücken schließen.
Windows-Kernel hat Sicherheitslücken
Ein weiterer Patch beseitigt drei Sicherheitslücken im Windows-Kernel, die allesamt als nicht so gefährlich eingestuft werden. Denn ein Angreifer muss über gültige Anmeldeinformationen verfügen, um die Sicherheitslecks ausnutzen zu können. Zwei Sicherheitslücken können zur Rechteausweitung missbraucht werden, während das dritte Sicherheitsloch für eine Denial-of-Service-Attacke verwendet werden kann. Von dem Sicherheitsloch sind alle Windows-Ausführungen bis auf Windows XP in der 64-Bit-Ausführung sowie Windows Server 2003 betroffen. Der bereitgestellte Patch(öffnet im neuen Fenster) soll die drei Fehler beseitigen.
Fünf Sicherheitslücken wurden im Windows-Kernel-Modustreiber gefunden. Ein Angreifer mit gültigen Anmeldeinformationen kann die fünf Sicherheitslecks dazu missbrauchen, sich erhöhte Rechte zu verschaffen. Die Gefahr der Sicherheitslecks wird nicht als sehr hoch eingestuft. Ein Patch für alle Windows-Versionen(öffnet im neuen Fenster) steht zum Download bereit.
Mit einem weiteren Windows-Patch(öffnet im neuen Fenster) werden zwei Sicherheitslecks in den TCP-/IP-Funktionen beseitigt. Der eine Fehler kann zur Rechteausweitung, der andere für eine Denial-of-Service-Attacke verwendet werden. Nur Windows XP und Windows Server 2003 sind von den Fehlern nicht betroffen.
Gefährliche Sicherheitslücken in Silverlight
Noch ein Patch betrifft alle Windows-Versionen bis auf Windows XP und Windows Server 2003. Zwei Sicherheitslücken in der Windows-Funktion "Ablaufverfolgung für Dienste" erlauben einem Angreifer, sich mehr Rechte zu verschaffen. Beide Fehler erfordern, dass sich der Angreifer am System anmelden kann. Mit dem Patch(öffnet im neuen Fenster) sollen die beiden Fehler korrigiert werden.
Zwei weitere Sicherheitslücken betreffen sowohl das .Net Framework als auch Silverlight. Beide Sicherheitslücken können zur Ausführung von Schadcode missbraucht werden, indem ein Opfer zum Öffnen einer manipulierten Webseite verleitet wird. Der Patch(öffnet im neuen Fenster) steht sowohl für das .Net Framework als auch für Silverlight 2 und 3 als Download zur Verfügung.
Office-Software mit Sicherheitslöchern
Insgesamt zwei Patches hat Microsoft für die Office-Software des Unternehmens veröffentlicht. Der eine Patch korrigiert vier gefährliche Sicherheitslücken in der Textverarbeitung Word. Angreifer können darüber beliebigen Programmcode einschleusen. Nur Office 2010 ist von den Fehlern nicht betroffen. Der Patch für alle Office-Versionen(öffnet im neuen Fenster) steht als Download zur Verfügung.
In Excel wurde nur ein Sicherheitsleck beseitigt, das ebenfalls zur Codeausführung missbraucht werden kann. Mit einem Patch für Excel 2002, 2003, 2004 für Mac und 2008 für Mac(öffnet im neuen Fenster) soll das Sicherheitsloch geschlossen werden. Der Patch korrigiert den Fehler auch im Open-XML-Dateiformatkonverter für Mac.
Anfang August 2010 hatte Microsoft unabhängig vom monatlichen Patchday ein Windows-Update veröffentlicht . Der Patch hat das Lnk-Sicherheitsloch beseitigt, das bereits aktiv ausgenutzt wurde. Ansonsten wäre dieser Patch wohl am regulären Patchday erschienen und Microsoft hätte sogar 15 Patches veröffentlicht, mit denen 35 Sicherheitslücken geschlossen werden.
Ein Sicherheitsloch in Windows bleibt offen
Das am vergangenen Wochenende entdeckte Windows-Sicherheitsloch in der Datei win32k.sys hat noch keinen Patch erhalten. Dafür hat Microsoft die Untersuchungen des Sicherheitslecks abgeschlossen. Demnach wird das Sicherheitsleck als wenig gefährlich eingestuft, denn es lässt sich nur lokal ausnutzen. Der Angreifer muss also Zugang zu dem betreffenden System haben und sich vor Ort anmelden. Aus der Ferne kann das Sicherheitsleck demnach nicht ausgenutzt werden. Microsoft will einen Patch dafür veröffentlichen, verriet aber noch nicht, wann dieser erscheinen wird.
Alle aufgeführten Patches können über die betreffenden Security Bulletins sowie über die Updatefunktion der Produkte geladen werden.