Microsoft veröffentlicht außerplanmäßiges Sicherheitsupdate

Es schließt Schwachstellen in Security Essentials, Windows Defender und Forefront. Sie ermöglichen ein Denial of Service. Infolgedessen können betroffene Programme keine Malware mehr identifizieren. Für Windows XP hat Microsoft keinen Patch bereitgestellt.

Microsoft hat ein außerplanmäßiges Sicherheitsupdate zum Download bereitgestellt. Es behebt Fehler in allen Anti-Malware-Produkten des Unternehmens. Darunter sind auch Microsoft Security Essentials, Windows Defender und die Unternehmenslösung Forefront. Aus einem Advisory geht hervor, dass es sich um eine Denial-of-Service-Lücke in der Microsoft Malware Protection Engine handelt.

Mit einer speziell manipulierten Datei lasse sich die Schwachstelle ausnutzen, so der Konzern. Scannt eines der anfälligen Produkte diese Datei, könnte ein Angreifer “verhindern, dass die Microsoft Malware Protection Engine betroffene Systeme überwacht, bis die manipulierte Datei manuell entfernt und der Dienst neu gestartet wurde.” Zudem bestehe die Möglichkeit, dass das Betriebssystem oder eine Anwendung nicht mehr reagiere oder Anwendungen abstürzen.

Von der Sicherheitslücke sind Microsoft Security Essentials, Security Essential Prerelease, Windows Defender für Windows 8 und 8.1, RT und RT 8.1, Server 2012 und Server 2012 R2 sowie Windows Defender für Windows XP, Server 2003, Vista, Server 2008, Windows 7 und Windows Server 2008 R2 betroffen. Auch in Forefront Client Security, Forefront Endpoint Protection 2010, Forefront Security für SharePoint Service Pack 3, System Center 2012 Endpoint Protection, Windows Intune Endpoint Protection und im Windows-Tool zum Entfernen bösartiger Software (Version Mai 2014 und früher) steckt der Fehler.

Microsoft glaubt nicht, dass Kriminelle einen Exploit für aktuelle Versionen der betroffenen Software entwickeln können. Für ältere Versionen sei es zumindest “schwierig”, solch einen zu entwickeln.

Microsoft aktualisiert die Malware Engine von Security Essentials und Windows Defender in der Regel automatisch. Aus diesem Grund müssen Verbraucher nichts unternehmen. Für Windows XP steht über Microsoft Update bislang kein Update für Security Essentials bereit. Das zeigten Tests von ZDNet USA. Microsoft zufolge wurde der Fix bereits installiert, wenn die Malware Protection Engine die Version 1.1.10701.0 oder höher hat.

Entdeckt wurde die Schwachstelle vom Google-Mitarbeiter Tavis Ormandy. Per Twitter teilte er mit, der Fehler stecke im Java-Interpreter der Microsoft Malware Protection Engine.