Patchday

Die Gruppe Shadowbrokers veröffentlicht zahlreiche NSA-Exploits und Informationen über einen Hack des Swift-Banksystems Eastnets durch den US-Geheimdienst. Anders als beim letzten Mal sind viele der Exploits recht aktuell und können Windows-Systeme angreifen.

Schon im November hatte es Ärger zwischen Microsoft und Google um die Offenlegung einer Sicherheitslücke gegeben. Jetzt legt Project Zero nach und veröffentlicht Details zu einer ungepatchten Lücke im Windows Graphics Device Interface.

Im Februar lässt Microsoft den monatlichen Patchday komplett ausfallen. Seit mehr als zehn Jahren hat es keinen vergleichbaren Fall gegeben. Grund dafür ist ein Fehler in einem der Patches, der vorher korrigiert werden muss.

Eigentlich wollte Microsoft am heutigen Mittwoch Patches für seine Produkte veröffentlichen. Weil kurz vorher Fehler in einem Patch gefunden wurden, hat der Hersteller den Patchday auf unbestimmte Zeit verschoben.

Am monatlichen Patchday gab es dieses Mal von Adobe nicht nur Sicherheitsfixes, sondern auch ein ungewollt installiertes Chrome-Plugin. Nutzer reagierten verärgert.

Für den Windows Server 2016 wird der Patchday aufgeteilt, während gleichzeitig die neue Patch-Strategie bei den Altprodukten umgesetzt wird. Fortan sind zwei Dienstage eines jeden Monats im Microsoft-Pflegekalender zu vermerken.

Adobe muss erneut außerhalb des für Administratoren angenehmen Patchdays nachbessern. Grund ist ein existierender Exploit für CVE-2016-7855, der bereits für gezielte Angriffe genutzt wird.

Secunia Research schaut sich regelmäßig an, wie gut Anwender ihre Systeme pflegen. Die gute Nachricht: Windows wird in der Regel aktualisiert. Die schlechte: Bei den Programmen sind selbst versierte Anwender nachlässig. Die Statistiken sind aber mit Vorsicht zu genießen.

Vorbei sind die Zeiten Hunderter Einzelpatches für Windows. Microsoft baut das Windows Update um. Und zwar nicht für Windows 10, sondern für die beiden Alt-Betriebssysteme Windows 7 und Windows 8.1. Für Unternehmen gibt es zudem keine Sicherheitspatch-Pakete.

Das mittlerweile im Browser übliche direkte Anzeigen von PDF-Dokumenten kann zu einem Sicherheitsproblem werden, wie ein aktueller Fall zeigt. Der Anwender muss bei Microsofts Edge-Browser auch ohne Adobe Reader auf Schad-PDFs achten.

Das Anniversary Update von Windows 10 wird nur phasenweise verteilt. Wer nicht warten will, kann auf ein kleines Werkzeug von Microsoft zugreifen, das den Downloadvorgang und die Installation manuell anstößt.

Ein Fehler in der Druckerverwaltung von Windows ermöglicht es, Schadcode im Netzwerk zu verteilen und mit Systemberechtigung auszuführen. Diese und andere Lücken hat Microsoft heute gepatcht.

Mit einem neuen Mechanismus sollen kritische Sicherheitslücken in Android schneller geschlossen werden. Dazu probiert Google am Juli-Patchday ein neues Verfahren aus. Das aktuelle Update ist das bislang umfangreichste.

Mehrere Tage, nachdem wieder eine kritische Sicherheitslücke im Flashplayer bekannt geworden ist, hat Adobe einen Patch nachgeliefert. Die Lücke soll bereits aktiv ausgenutzt werden. Ihr wisst, was zu tun ist.

Alle Windows-Versionen seit 95 haben eine Sicherheitslücke, die die Manipulation des Datenverkehrs ermöglichen soll. Microsoft bezeichnet das Problem nicht als kritisch, der Entdecker sieht es anders - und will auf der Black Hat mehr verraten.

Ein Fehler in der Speicherverwaltung von Jscript und Vbscript ermöglicht die Ausführung fremden Codes im Internet Explorer und seinem Nachfolger Edge. Microsoft hat bereits mit Updates auf diese und weitere Sicherheitslücken reagiert.

Ab dem Mai-Patchday von Microsoft werden nicht mehr alle Updates über das Download-Center von Microsoft angeboten. Stattdessen wird auf den Microsoft Update Catalog verwiesen. Der funktioniert aber nicht mit jedem Browser.

Update Oracle hat ein außerplanmäßiges Security-Advisory veröffentlicht, das eine Schwachstelle im Java-Installationsprogramm für Windows beschreibt. Auch zahlreiche weitere Installer sind betroffen. Ein erfolgreicher Exploit ist recht aufwendig, hat aber potenziell weitreichende Folgen.

Mehrere alte Versionen des Internet Explorers werden nicht mehr mit Updates versorgt. Zwar gibt es noch wenige Ausnahmen, doch mit der letzten verbliebenen Version IE 11 rückt das Ende des alten Browsers näher.

Microsofts Patchday ist in diesem Monat besonders ergiebig: Insgesamt wurden 71 Schwachstellen gepatcht. Viele der Schwachstellen sind als kritisch eingestuft, Nutzer sollten schnell updaten. Einige der Informationen, die Microsoft veröffentlicht hatte, waren leider nicht für die Öffentlichkeit bestimmt.

Zeit, Abschied zu nehmen: Microsoft beendet die Unterstützung für ältere Versionen des Internet Explorers ab Januar 2016. Es gibt jedoch einige Ausnahmen.

Nutzer des Windows-10-Testprogramms Windows Insider können ein neues Preview Build installieren: Microsoft verteilt die neue Version aktuell über den Fast Ring. Möglicherweise entspricht das Build bereits dem kommenden Herbst-Update von Windows 10.

Die neue Android-Version 6.0 alias Marshmallow bekommt nach einem Monat ihre erste Sicherheitsaktualisierung. Grund sind insgesamt sieben Bedrohungen, von denen Google zwei als kritisch einstuft.

Xen hat einige Lücken in seinem Hypervisor geschlossen. Details werden, wie üblich, erst später bekannt gegeben.

Adobe hat den Flash-Player und Adobe Air diese Woche mit neuen Updates versorgt - doch schon werden neue Sicherheitslücken gemeldet. Ein neuer Zero-Day-Exploit in Flash soll für Angriffe auf Außenministerien in aller Welt genutzt worden sein. Der nächste Patch dürfte schon nächste Woche folgen.

Der Amerikachef von HTC bezeichnet monatliche Sicherheitsupdates für Android-Geräte als unrealistisches Versprechen. Google hat unterdessen für die Nexus-Geräte einen Patch für Stagefright 2.0 veröffentlicht.

Nach der Entdeckung der Stagefright-Sicherheitslücke hatte Google angekündigt, einen monatlichen Patchday mit Sicherheitsupdates einzuführen. Jetzt sind die ersten Builds veröffentlicht worden.

Die Update-Prozesse von Windows 10 sind noch immer verwirrend - nicht zuletzt, weil Microsofts Pläne hier noch nicht abgeschlossen sind. Wie Mary Jo Foley nun entdeckt hat, lassen sich Windows Updates länger als gedacht hinauszögern. Es gibt jedoch einige Feinheiten zu beachten.

Microsoft hat einen Sicherheits-Patch für den Internet Explorer veröffentlicht. Der Besuch einer entsprechend modifizierten Webseite erlaubt es Angreifern, beliebigen Code auf dem fremden System auszuführen. Das Sicherheitsloch wird bereits aktiv ausgenutzt.

Am gestrigen Patch-Tuesday hat Microsoft eine gravierende Schwachstelle geschlossen, die das Einschleusen von Schadcode über USB-Sticks ermöglicht und bereits aktiv ausgenutzt wird. Außerdem wurden zahlreiche Speicherlücken im Browser Edge geschlossen.

Golem-Wochenrückblick Diese Woche steht mit der Gamescom und Intels Skylake-Plattform im Zeichen der Spieler. Aber auch Betriebssystemfans kamen nicht zu kurz. Sieben Tage und viele Meldungen im Überblick.

Update Black Hat 2015 Die Sicherheitslücke in Androids Stagefright-Framework bewirkt ein Umdenken: Sowohl Google als auch Samsung führen einen monatlichen Patchday ein, an dem Sicherheits-Updates unabhängig von eigentlichen Systemaktualisierungen bereitgestellt werden sollen.

In seinen jetzt veröffentlichten Patches hat Microsoft gleich zwei Zero-Day-Lücken geschlossen, die vom Hacking Team verwendet wurden. Eine betrifft den Internet Explorer 11, die andere den Windows-Kernel.

Offenbar hat Samsung ein Einsehen: Die Blockade der automatischen Windows-Updates auf den Laptops des Herstellers soll aufgehoben werden. Das Samsung-Tool SW Update verhinderte auf einigen Rechnern die automatische Aktualisierung.

Update Nach Superfish das nächste Debakel mit vorinstallierter Software auf Windows-Laptops: Samsung liefert auf seinen Geräten ein Tool mit, das die automatische Update-Funktion von Windows deaktiviert.

Sicherheitslücken in Adobes Flashplayer sollten Anwender zum Handeln zwingen. Bereits existierende Exploit-Kits werden derzeit sehr schnell an Patches angepasst. Für das letzte Update brauchten Angreifer nicht einmal zwei Wochen, um die abgesicherte Sicherheitslücke auszunutzen.

KB3058515 heißt das Update, das für mehr Datenübertragungssicherheit unter Windows 7 und 8.1 im Standardbrowser führt. Microsoft hat HSTS nach der Windows-10-Vorschau auch für Vorgängersysteme mit Internet Explorer 11 freigegeben. Verteilt wird es als kritisches Sicherheitsupdate.

Ignite 2015 Microsoft ändert seine Update-Strategie: Das neue Verfahren für Windows 10 in heißt Windows Update for Business. In Chicago hat Microsoft erste Details dazu genannt, wie Rechner an Arbeitsplätzen mit weniger Risiko aktualisiert werden.

Zahlreiche Nutzer melden, dass sich ein Update vom letzten Patchday unter Windows 7 nicht installieren lässt. Abhilfe gibt es noch nicht. Wer das automatische Zurücksetzten des Patches abbricht, bleibt möglicherweise mit einem unbrauchbaren System zurück.

Die Freak-Lücke hat Microsoft schnell geschlossen. Am heutigen Patchday gibt es dafür ein Update. Verwunderlich ist jedoch, dass es auch einen Patch für eine Lücke gibt, die von Stuxnet ausgenutzt wurde - und seit 2010 bekannt ist.

Zum Beseitigen von Sicherheitslücken in ihren Produkten sind den Entwicklern 90 Tage manchmal nicht genug. Google nimmt sich dieses Problems nun mit seinem Project Zero an: In besonderen Fällen gibt es eine kleine Pufferzone. Mitunter werden auch bestimmte Wochentage berücksichtigt.