Windows Patch Day: Microsoft behebt etwa 70 Sicherheitslücken in Windows 10
Microsoft verteilt seit dem 12. Februar 2019 das monatliche Update für Windows 10. Es bringt einige sicherheitsrelevante Verbesserungen für das Betriebssystem, aber auch für Microsofts Mixed-Reality-Brille Hololens. Insgesamt etwa 70 Sicherheitslücken in diversen Programmen adressiert das Paket KB4487044(öffnet im neuen Fenster) . Es betrifft Windows-Programme wie Microsoft Edge, Internet Explorer, .Net-Framework, Visual Studio Code, Microsoft Dynamics, die Azure IoT SDK, die Office-Dienste und Webapplikationen, den Adobe Flash Player und andere.
Der Zero-Day-Patch schließt eine Sicherheitslücke, die im Internet Explorer bereits effektiv ausgenutzt wurde. CVE-2019-0676(öffnet im neuen Fenster) wird durch eine fehlerhafte Speicherverwaltung des Browsers hervorgerufen. Sie ermöglicht es Angreifern zu prüfen, ob sich eine oder mehrere bestimmte Dateien auf den Laufwerken der betroffenen PCs befinden. Das geht allerdings nur, indem Opfer auf eine präparierte Webseite geleitet werden.
Eine andere kritische Sicherheitslücke betraf Microsofts Exchange Server. CVE-2019-0686(öffnet im neuen Fenster) erlaubte es Angreifern, erhöhte Rechte für den E-Mail-Dienst zu erhalten - vorausgesetzt der angegriffene Server hatte die Funktionen Exchange Web Services und Push-Benachrichtigungen aktiviert. Dieser Fehler trifft auch auf die Lücke CVE-2019-0724(öffnet im neuen Fenster) zu, die allerdings Angreifer auf die Rechte des Domänenadministrators anhebt. Es ist daher sehr sinnvoll, den Patch direkt zu installieren. Eine vollständige Liste der behobenen Sicherheitslücken(öffnet im neuen Fenster) stellt Microsoft in einer Übersicht bereit.
Neben Sicherheitslücken gehen die Entwickler weitere Probleme an. So wird ein Fehler behoben, der dazu führte, dass Microsoft Edge sich nicht direkt mit eingegebenen IP-Adressen verbinden konnte. Auch das Problem zwischen Microsoft-Jet-Datenbanken und dem Access-97-Dateiformat wurde adressiert. Die Datenbanken konnten nicht geöffnet werden, wenn ein Spaltenname mehr als 32 Zeichen beinhaltete. Auch der Lmcompatibilitylevel-Wert, der die Authentifizierungsmethode und die Sitzung bestimmt, sollte jetzt wieder richtig gesetzt werden.
Microsofts Hololens hatte anscheinend ein Problem, über das der Sperrbildschirm umgangen werden konnte. Den Fehler behebt das Update. Eine komplette Liste der Änderungen(öffnet im neuen Fenster) stellt Microsoft auf der entsprechenden Seite zur Verfügung.
Der Patch bringt aber auch ein Problem beim Parsing von Datumstrings in die japanische Sprache mit sich. Das ist aber, rückblickend auf andere Patches, ungewöhnlich wenig.