Es wurden neue Windows Sicherheits-Patches von Microsoft für Internet Explorer, Edge, Office und Skype Business veröffentlicht. Insgesamt zehn Lücken werden durch die Updates geschlossen. Fünf stuft Microsoft davon als kritisch ein. Die vier weiteren werden als mittelschwer eingestuft.

Die Update-Verteilung an diesem Patchday ist allerdings neu. Die Patches gibt es nur noch als kumulative Rollup-Pakete. Ziel ist es, die Patchlevel-Fragmentierung bei Windows 7 und 8.1 einzudämmen. Einzelne Updates lassen sich dadurch nicht mehr getrennt voneinander installieren oder eben zurückhalten. Von Windows 10 ist man bereits ähnliches gewohnt. Demzufolge gibt es keine Patches für einzelne Lücken oder Probleme mehr. Allerdings gibt es einige Ausnahmen: Updates für den Flash Player, .NET-Komponenten und Skype werden auch weiterhin einzeln geliefert.

In Edge, dem Internet Explorer, Skype Business und Windows klaffen vier kritische Lücken. Der alleinige Besuch auf einer präparierten Webseite soll für einen erfolgreichen Angriff reichen. Laut Microsoft soll ein Angreifer anschließend aus der Ferne Schad-Code ausführen können. Im Flash Player befindet sich die fünfte kritische Lücke.

Die Schwachstellen, die mit dem Bedrohungsgrad wichtig eingestuft wurden, befinden sich in Office und Windows. Die Lücke kann ausgenutzt werden, wenn ein Angreifer sein Opfer dazu bringt, eine präparierte Anwendung zu öffnen. So kann sich der Angreifer höhere Rechte erschleichen, indem er sich Informationen abzieht. In Microsofts Internet Messaging API klafft die mittelschwere Lücke. So kann der Angreifer allerdings nur prüfen, ob Dateien auf einer Festplatte liegen.

Die Sicherheitsforscher von Trend Micro warnen davor, dass Angreifer aktuell diese fünf Lücken aktiv attackieren.

Microsoft erläutert in einem neuen Sicherheitshinweis die Konfiguration eines TLS-Servers mit längeren Diffie-Hellmann-Ephemeral-Schlüsselfreigaben. Der Konzern weist zudem auf Sicherheitsanfälligkeiten in ASP.NET-Komponenten hin. Angreifer können sich an dieser Stelle im schlimmsten Fall höhere Rechte verschaffen.

Die Links zu den Beschreibungen der Lücken sind unter dem Heise Artikel abrufbar.

(ms, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE