Microsoft hält am Patchday im Dezember acht als kritisch und vier als wichtig eingestufte Sicherheitsupdates bereit. Davon betroffen sind der Internet Explorer und Edge, Silverlight, Microsoft Office, die VBScripting Engine und Windows in der Client- und Serverversion. Ein Update für Outlook 2010 und ein SSL-/TLS-Zertifikat hat Microsoft zudem zurückgezogen.

Im Internet Explorer (Version sieben bis elf) und im Edge klafft jeweils eine als kritisch eingestufte Sicherheitslücke, über die Angreifer in der Lage sind, eigenen Code auf den Computern der Betroffenen auszuführen. Laut Microsoft reiche dafür der Besuch einer präparierten Webseite aus. Außerdem können Angreifer über die Schwachstelle die gleichen Benutzerrechte erlangen wie der aktuelle Benutzer.

Ebenfalls Code können Angreifer über eine Lücke im Skriptmodul VBScript ausführen. Microsoft erläutert, dass Angreifer ihre Opfer dafür auf eine manipulierte Webseite locken müssen. Die Methode, wie Objekte im Speicher verarbeitet werden soll das kumulative Sicherheitsupdate verbessern und es ist für Windows Server 2008, Windows Vista und Server-Core-Installationen verfügbar.

In verschiedenen Windows-Server-Versionen existiert eine weitere kritische Sicherheitslücke, mit der Angreifer über spezielle Anfragen an einen DNS-Server Code ausführen können. .NET Framework, Microsoft Lync, Microsoft Office, Silverlight, Skype for Business und alle noch unterstützten Windows-Versionen sind vom Sicherheitsupdate für die Microsoft-Grafikkomponente betroffen. Nach eigenen Angaben hat Microsoft dabei an der Verarbeitung von Schriftarten gearbeitet. So konnten Opfern von Angreifer ein Dokument oder eine Webseite mit manipulierten Schriftarten unterschieben, um eigenen Code auf deren Computern zu schleusen.

Von einer weiteren Lücke sind Windows 7 und Windows Server 2008 R2 betroffen. Angreifer können über die speziell gestaltete Schriftarten Nutzern Code unterschieben.

Diesen Monat wird Silverlight noch weiter abgedichtet, da Angreifer über eine als kritisch eingestufte Lücke beim Öffnen und Schließen von Silverlight ansetzen können und so Lese- und Schreibzugriffsverletzungen provozieren, um Nutzern eigenen Code unterzuschieben. Silverlight-Nutzer, die einen Mac besitzen, sind davon auch betroffen.

In Microsoft Uniscribe unter Windows 7 und Windows Server 2008 R2 und in Microsoft Office sind die letzten beiden als kritisch eingestuften Lücken im Dezember. Mit manipulierten Dokumenten können Angreifer die beiden Schwachstellen zur Remotecodeausführung ausnutzen.

Mit der Bewertung Hoch hat Microsoft eine in allen noch unterstützten Windows-Versionen klaffende Lücke eingestuft. Ein Angreifer kann so zwar auch Code ausführen und die Kontrolle über das System übernehmen, allerdings benötigt er, laut Microsoft, einen lokalen Zugang zum Computer und muss eine spezielle Anwendung ausführen.

Nutzer sind nur von der Sicherheitsanfälligkeit von Windows PGM betroffen, die Microsoft Message Queuing installiert und das Windows-Pragmatic-General-Multicast-Protokoll aktiviert haben. Darüber können Angreifer sich erhöhte Berechtigungen einholen. Über eine weitere Schwachstelle soll dies auch in allen unterstützten Windows-Versionen gelingen. Allerdings nur, wenn ein Angreifer sich auf einem Computer anmeldet und eine Anwendung ausführt.

Das Media Center unter Windows 7, 8 und 8.1 ist vom letzten mit der Bewertung Hoch eingestuften Sicherheitsupdate im Dezember betroffen. Dabei dient als Einfallstor eine manipulierte Media-Center-Linkdatei (MCL) zu Ausführung von Code aus der Ferne.

heise Security wurde von verschiedenen Lesern darauf hingewiesen, dass das Update mit der Kennung KB3114409 Outlook zurücksetzt und die Anwendung nur noch im abgesicherten Modus startet. Dies soll laut den Berichten unter Windows 7, 8.1 und 10 geschehen.

Microsoft hat dieses Update bereits zurückgezogen. Outlook funktioniere wieder normal, wenn betroffene Nutzer mit Problemen das Update deinstallieren.

Microsoft weist in einer Sicherheitsempfehlung darauf hin, dass sie eine SSL-/TLS-Zertifikat für xboxlive.com zurückgezogen haben. Der private Schlüssel ist geleakt. In Verbindungen hätten Angreifer sich somit als Man-in-the-Middle einklinken und lauschen können. Laut Microsoft soll es allerdings keine Übergriffe gegeben haben.

(ts, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE