Laut Microsoft haben es Angreifer momentan gezielt auf verschiedene Windows-Versionen abgesehen und attackieren diese. Nutzer sollten möglichst schleunig die verfügbaren Patches per Windows Update installieren. Neben den Sicherheitsupdates stehen noch fehlerbereinigte Versionen von Office, Azure IoT SDK, ChakraCore, Edge, Internet Explorer, Hyper-V Server und Visual Studio bereit. Microsoft hat insgesamt 68 Sicherheitsupdates veröffentlicht, wovon 21 als "kritisch" und 45 als "wichtig" gelten. Mit "niedrig" sind lediglich zwei Lücken eingestuft.

In VBScript, auf das zum Beispiel der Internet Explorer zugreift, klafft eine der ausgenutzten Lücken und das Bedrohungsrisiko wurde als "kritisch" eingestuft. Microsoft zufolge muss ein Opfer nur eine präparierte Webseite besuchen oder ein mit einem speziellen ActiveX-Element versehenes Office-Dokument öffnen, damit ein Angriff eingeleitet werden kann. Ein Angreifer könne dann aus der Ferne Code mit den entsprechenden Nutzerrechten des Opfers ausführen. Betroffen sind die Betriebssysteme Windows 7, 8.1, 10 und verschiedene Server-Versionen.

In der Win32k-Komponente von Windows 7 und in verschiedenen Ausgaben von Windows Server 2008 befindet sich die zweite Schwachstelle, die im Fokus von Angreifern liegt. Damit ein Angreifer diese Lücke ausnutzen kann, muss er angemeldet sein. Er könne die Kontrolle über Systeme erlangen, wenn er eine spezielle Anwendung laufen lässt, die ihm höhere Rechte vergibt. Microsoft stuft diesen Schweregrad mit "wichtig" ein.

Im Security Update Guide stellt Microsoft Informationen über die gepatchten Sicherheitslücken bereit. Eine übersichtlichere Liste existiert im Patchday-Blog-Artikel von Trend Micros Zero Day Initiative.

(ts, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE