Microsoft hat anlässlich seines November-Patchdays nur 14 statt der angekündigten 16 Patch-Pakete veröffentlicht, unter denen vier davon kritische Lücken behandeln. Das Unternehmen hat unter anderem eine fatale Schwachstelle in der Schannel (auch Secure Channel) genannten Krypto-Infrastruktur von Windows geschlossen. Angreifer können die Lücke missbrauchen, um mit speziell präparierten Datenpaketen Code in Windows Server 2003 SP2 bis 2012 R2 einzuschleusen, wie Microsoft in dazugehörigen Advisory schreibt.

Über diese Lücke sind auch die Desktop-Versionen von Windows angreifbar, erklärt Microsofts Sicherheitsteam in einem Newsletter. Sobald Nutzer z.B. eine präparierte Webseite öffnen, können sie sich darüber Schadcode einfangen.

Obwohl Microsoft laut Angaben die Schwachstelle bei einem internen Audit entdeckt hat, sollten Betroffene umgehend handeln. Der Patch liefert Angreifern wertvolle Hinweise darauf, an welcher Stelle das Sicherheitsleck geschlossen wurde. Das Schannel-Update bringt zudem die Unterstützung für vier neue Cipher Suites mit.

In sämtlichen Windows-Versionen hat Microsoft zudem zwei kritische Lücken in der OLE-Schnittstelle abgedichtet, welche bereits für Cyber-Attacken missbraucht wurden und das Einschleusen von Schadcode erlauben. Eine der beiden Lücken steht in Zusammenhang mit der Sandworm-Schwachstelle, die Microsoft bereits im Oktober zu schließen versuchte.

Kurze Zeit darauf stellte die Sicherheitsfirma McAfee jedoch fest, dass die Lücke auch nach der Installation des Oktober-Patches ausgenutzt werden kann. Daraufhin gab Microsoft ein FixIt-Tool heraus, welches das Sicherheitsloch provisorisch abgedichtet hat. Über Office-Dokumente und speziell präparierte Webseiten können die OLE-Lücken von Angreifern missbraucht werden. Der Schadcode kann auch mit Adminrechten agieren, wenn der Nutzer entsprechend als Admin unterwegs ist.

Für den Internet Explorer 6 bis 11 gibt es ein Sammel-Update mit "kritischen" Patch-Paketen sowie ein Sicherheits-Update für XML Core Services sämtlicher noch unterstützter Windows-Versionen (einschließlich Server). Die Lücken können von Angreifern genutzt werden, um IE-Nutzern Schadcode beim Surfen hinzuzufügen.

Von Microsoft wurden zehn weitere Patch-Pakete als "wichtig" eingestuft. Unteranderem für Word Viewer, Microsoft Word 2007 SP3 und Office Compatibility Pack SP3. Drei vertraulich gemeldete Lücken, die sich ebenfalls zum Einschleusen von Code eignen, werden damit abgedichtet.

In sämtlichen Windows-Versionen, in SharePont Server 2010 SP2, in Windows Server 2003 SP3 sowie im .NET Framework hat Microsoft Privilege-Escalation-Lücken geschlossen. Die vollständige Übersichtstabelle kann bei Microsoft eingesehen werden. Die beiden ausgebliebenen nicht kritischen Patch-Pakete werden von Microsoft, nachdem sie unplanmäßig getestet werden, nachgereicht.

(ts, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE