Microsofts Patchday: Updates gegen Freak - und nochmal Stuxnet

Die Freak-Lücke hat Microsoft schnell geschlossen. Am heutigen Patchday gibt es dafür ein Update. Verwunderlich ist jedoch, dass es auch einen Patch für eine Lücke gibt, die von Stuxnet ausgenutzt wurde - und seit 2010 bekannt ist.

Artikel veröffentlicht am 11. März 2015, 10:33 Uhr, Jörg Thoma

Neue Patches für Windows schließen die Freak-Lücke und ein Einfallstor für Stuxnet. (Bild: Microsoft)

Am heutigen Patchday gibt es von Microsoft ein Update, das die Freak-Lücke schließt, nur wenige Tage, nachdem die Lücke bekanntgeworden war. Kurioserweise gibt es aber aber auch einen Patch für eine Lücke, die eigentlich bereits 2010 geschlossen sein sollte. Die Lücke war eine von fünf Zero-Days, die von der Malware Stuxnet ausgenutzt wurde. Laut HP wurde die Schwachstelle damals nur unzureichend repariert.

2010 veröffentlichte Microsoft den Patch MS10-046 gegen die sogenannte LNK-Schwachstelle, die mutmaßlich von den Stuxnet-Entwicklern genutzt wurde, um Rechner mit ihrem Wurm von USB-Sticks aus zu infizieren. Laut einem gleichzeitig zum heutigen Patchday veröffentlichten Blogpost habe der damalige Patch jedoch eine nur unzureichende Verifizierung umgesetzt. Angreifer könnten den Patch analysieren und diese verbleibenden Schwachstellen ausfindig machen, so der IT-Sicherheitsforscher Michael Heerklotz. Er wandte sich mit seinen Ergebnissen an HPs Zero Day Initiative, die wiederum Microsoft kontaktierte.

Laut HP waren aber jene Rechner sicher, die zusätzlich zu dem damals veröffentlichten Patch auch Microsofts Anleitung befolgten und die Darstellung von LNK-Dateien in der Registry deaktivierten. Mit der heutigen Veröffentlichung von Patch MS-15-020 sollen nun ausreichende Absicherungen umgesetzt worden sein, um Angriffe, wie sie Stuxnet ausnutzt, zu verhindern. Laut Microsoft schließt MS-15-020 eine neue Sicherheitslücke. Cyberkriminelle würden mit jedem Fortschritt auch ihre Taktiken ändern. Der Patch wird für alle Windows-Versionen bereitgestellt.

Freak-Lücke geschlossen

Mit dem Patch MS15-031 schließt Microsoft eine Lücke in Secure Channel - kurz Schannel - und verhindert damit HTTPS-Verbindungen mit schwacher Verschlüsselung, wie sie in der jüngst entdeckten Freak-Attacke beschrieben sind. Das von Microsoft zuvor veröffentlichte Workaround hatte Probleme bereitet. Auf einigen Systemen funktionierte danach Windows Update nicht mehr. Der Aufruf von Windows Update führte dann zu einer Fehlermeldung und es wurden keine Aktualisierungen angezeigt, auch wenn noch welche zur Installation bereitstehen. Nutzer sollten also das Workaround wieder rückgängig machen, um die neue Updates zu erhalten.