Microsoft patcht DuQu-Lücke
Am Dezember-Patchday hat Microsoft 13 Sicherheitsupdates veröffentlicht – darunter drei für Updates für Schwachstellen, die der Hersteller als “kritisch” bewertet. Darvon ist ein Leck im Windows-Kernel (MS11-087), das beim Umgang mit TrueType-Schriften auftritt und bereits vom Trojaner DuQu ausgenutzt wird.
Eine besonders hohe Priorität räumt der Konzern einem kumulativen Sicherheitsupdate von ActiveX-Kill-Bits (MS11-090) ein, das für Windows XP, Server 2003, Vista, Server 2008, 7 und Server 2008 R2 zur Verfügung steht. Ein Angreifer könnte über die Schwachstelle beliebigen Schadcode einschleusen und ausführen. Zuvor müsste er ein Opfer dazu bringen, eine bestimmte Webseite im Internet Explorer aufzurufen. Ebenfalls als kritisch eingestuft ist ein Loch in Windows Media (MS11-092) unter Windows XP, Vista und 7.
Die weiteren Patches beseitigen Fehler in Office 2007 und Office 2010 sowie Office für Mac 2011, Publisher 2003 und Publisher 2007, PowerPoint 2007 und PowerPoint 2010 sowie Office für Mac 2008 und Excel 2003. Darüber hinaus sind die Windows-Komponenten Active Directory, Client/Server-Runtime-Subsystem und OLE anfällig. Ein kumulatives Update für den Internet Explorer stopft drei weitere Löcher.
Ursprünglich wollte Microsoft im Dezember 14 Updates bereitstellen. Einen Patch musste das Unternehmen kurzfristig aufgrund von Kompatibilitätsproblemen mit einer Anwendung eines Drittanbieters zurückziehen. Es sollte eine als BEAST (Browser Exploit Against SSL/TLS) bezeichnete Lücke in der Version 1.0 von Transport Layer Security (TLS) schließen, die seit September bekannt ist. “Wir beobachten das Problem weiter und haben bisher noch keine Exploits gefunden”, sagte Microsoft-Sprecher Jerry Bryant.
Insgesamt hat Microsoft 2011 damit 99 Sicherheitsbulletins veröffentlicht. 32 Prozent davon waren nach Unternehmensangaben als “kritisch” eingestuft. Das sei der geringste Prozentsatz seit der Einführung der Patchdays im Jahr 2004 und in absoluten Zahlen der geringste Wert seit 2005, schreibt Mike Reavey, Senior Director des Microsoft Security Response Center, in einem Blogeintrag.
