Patchday: Microsoft schließt kritische Sicherheitslücken
Microsoft beseitigt eine Sicherheitslücke in .NET-Framework und Microsoft Silverlight, die zur Remotecodeausführung genutzt werden kann ( MS11-078(öffnet im neuen Fenster) ). Die vertraulich gemeldete Sicherheitslücke erlaubt es, Code auf einem fremden System auszuführen, wenn ein Benutzer eine speziell gestaltete Webseite in einem Webbrowser anzeigt, der XAML-Browseranwendungen (XBAPs) oder Silverlight-Anwendungen ausführen kann. Auch Serversysteme können darüber angegriffen werden, wenn der Server die Verarbeitung von ASP.NET-Seiten zulässt. Dann kann ein Angreifer erfolgreich eine speziell gestaltete ASP.NET-Seite auf den Server hochladen, die ausgeführt wird, wie es beim Webhosting üblich ist. Auch .NET-Anwendungen lassen sich angreifen, um Einschränkungen durch die Codezugriffssicherheit (CAS) zu umgehen.
Die zweite kritische Sicherheitslücke, die Microsoft mit dem Patchpaket schließt, steckt im Internet Explorer ( MS11-081(öffnet im neuen Fenster) ), und auch hier lässt sich Code auf fremden Systemen ausführen, wenn ein Benutzer eine speziell gestaltete Webseite mit Internet Explorer anzeigt. Ein Angreifer, der diese Anfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen.
Die Risikostufe der weiteren geschlossenen Sicherheitslücken bewertet Microsoft nur als hoch, nicht als kritisch. Darunter ist eine Lücke in Microsoft Active Accessibility ( MS11-075(öffnet im neuen Fenster) ), dem Windows Media Center ( MS11-076(öffnet im neuen Fenster) ), den Windows-Kernelmodustreibern ( MS11-077(öffnet im neuen Fenster) ), dem Microsoft Forefront Access Gateway ( MS11-079(öffnet im neuen Fenster) ) und Host Integration Serve ( MS11-082(öffnet im neuen Fenster) ).