September-Patchday: Microsoft schließt von Behörden genutzte Sicherheitslücke

Im Zuge des turnusmäßigen Patchdays behebt Microsoft im September 81 sicherheitsrelevante Fehler in seinen Produkten, von denen 25 als “kritisch” eingestuft werden. Besonders gravierend sind Bugs im .Net-Framework und einem Bluetooth-Treiber. Außerdem wird eine Lücke geschlossen, die das Unternehmen FinFisher in seiner an Behörden verkauften Überwachungssoftware FinSpy ausnutzt. Die Firma und die Software sind wegen ihres Einsatzes in Ländern mit unzureichenden rechtsstaatlichen Prinzipien umstritten. Dennoch zählt auch das Bundeskriminalamt zu den Kunden des deutsch-britischen Unternehmens.

Erst kürzlich hatte das Security-Unternehmen Fireeye vor einer Lücke gewarnt, die Staatstrojaner ausnutzten. Sie ist inzwischen als CVE-2017-8759 dokumentiert und steckt im .NET-Framework. Laut FireEye, reicht es aus, dem Nutzer ein RTF-Dokument unterzuschieben, damit der Code auf einem Zielsystem ausgeführt wird. Sobald der Nutzer das Dokument öffnet, kann sein Rechner infiziert werden. Solche Angriffe seien bereits beobachtet worden, so die Sicherheitsforscher.

Weitere gravierende Fehler stecken im Bluetooth-Treiber von Windows. Sie wurden kürzlich vom Sicherheitsunternehmen Armis entdeckt und als BlueBorne bezeichnet. Durch Man-in-the-Middle-Attacken können unter anderem Übertragungen via Bluetooth, etwa von einer Tastatur oder einem Headset, mitgeschnitten werden. Bei entsprechender Nähe zum Gerät ist es aber auch möglich, andere PCs mit Malware zu infizieren.

BlueBorne ist damit einer der Angriffsvektoren, die den sogenannten “Air Gap” überwinden können. Das heißt, dass ein Zielsystem nicht mit dem Internet verbunden sein muss, um angreifbar zu sein. Allerdings sollte das Deaktivieren aller Funkschnittstellen bei der Absicherung von entsprechenden Geräten üblich sein, was die davon ausgehende Gefahr wieder einschränkt.

Der .NET-Fehler betrifft alle noch unterstützten Versionen von Windows und des Frameworks, ist also für alle PC mit Windows 7, 8.1, Windows 10 und Windows Server 2008, 2012 und 2016 relevant. Daneben wurden Fehler im Flash Player, dem Browser Edge, Internet Explorer, Microsoft Office, Skype und dem Exchange Server behoben. Eine Übersicht der Patches mit Links zu allen Details bietet Microsofts Security Update Guide.

[mit Material von Nico Ernst, ZDNet.de]