Kritische Lecks im Internet Explorer und Windows geschlossen

Insgesamt 14 Sicherheitsupdates veröffentlicht Microsoft anlässlich des monatlichen Patch-Days. Diese Updates bereinigen insgesamt 33 Schwachstellen, wie der Hersteller mitteilt. Darunter sind mehrere als kritisch eingestufte Anfälligkeiten in Windows und Internet Explorer. Zwei der für heute angekündigten Updates (MS14-068 und MS14-075) hält das Unternehmen jedoch zurück. Wann diese veröffentlicht werden ist derzeit nicht bekannt.

Das höchste Risiko geht laut Hersteller von einer Lücke im Microsoft Secure Channel (Schannel) aus. Ein Angreifer kann damit über präparierte Netzwerkpakete, die an einen Windows Server geschickt werden, Schadcode einschleusen und ausführen. Davon betroffen sind Windows Server 2003, Vista, Server 2008, 7, Server 2008 R2, 8 und 8.1, Server 2012 und 2012 R2 sowie RT und RT 8.1.

Dieses Leck scheint von besonders hoher Brisanz zu sein, wie etwa Gavin Millard, EMEA Technical Director des auf Netzwerksicherheit spezialisierten Anbieters Tenable Network Security kommentiert: “Bisher wurde noch kein Proof-of-Concept-Code gefunden, da Microsoft keine Details zur Schwachstelle bekanntgegeben hat. Aber es wird nicht lange dauern, bis es so weit ist und es drohen verheerenden Folgen, falls der Admin kein Update durchgeführt hat.” Da Angreifer über die Schwachstelle remote auf dem Server Code ausführen können, können sie auf diese Weise privilegierten Zugriff auf das Netzwerk erhalten und können hier Hosts mit Malware oder Rootkits infizieren oder sensible Daten stehlen.

Derzeit sei es noch zu früh, um eine Parallel etwa zu ShellShock zu ziehen, kommentiert Milliard. “Aber eine Schwachstelle, die auf Code basiert, der aus der Ferne ausgeführt werden kann und sämtliche Versionen von Windows Server an einer weit verbreiteten Komponente wie Schannel betrifft, stellt wirklich ein Problem dar.”

Ebenfalls als kritisch stuft Microsoft zwei Schwachstellen in allen Windows-Versionen ein, die in der Komponente Windows Object Linking and Embedding (OLE) stecken. Eine davon wird seit vergangenem Monat für zielgerichtete Angriffe mit manipulierten PowerPoint-Dateien eingesetzt. Microsoft hatte dafür Ende Oktober ein Fix-it-Tool veröffentlicht, um Nutzer vor den Auswirkungen eines Angriffs zu schützen.

Allein 17 Anfälligkeiten soll das Update MS14-065 in Internet Explorer 6, 7, 8, 9, 10 und 11 beseitigen. Über das Leck kann ein Angreifer mithilfe einer manipulierten Website die Kontrolle über ein betroffenes System übernehmen. Microsoft hat nach eigenen Angaben mehrere Speicherfehler korrigiert und darüber hinaus die Implementierung der Sicherheitsfunktion Address Space Layout Randomization verbessert.

Weitere Lecks schließt Microsoft in XML Core Services, Office 2007, Word 2007, Word Viewer, Office Compatibility Pack, TCP/IP, Windows Audio Service, .NET Framework, Active Directory Federation Services und SharePoint Foundation. Lücken im Remote-Desktop-Protokoll und den Internet Information Services (IIS) erlauben zudem das Umgehen von Sicherheitsfunktionen. Auch sie wurden nun durch ein Update geschlossen. Ein Patch für die Kernelmodus-Treiber soll schließlich Denial-of-Service-Angriffe verhindern.

Nutzern des Enhanced Mitigation Experience Toolkit (EMET) empfiehlt Microsoft, auf die neue Version 5.1 umzusteigen, bevor sie das Udpate für den Internet Explorer installieren. Es könnte im Zusammenhang mit EMET 5.0 zu Problemen führen.

Darüber hinaus hat Microsoft auch eine neue Version des Windows Tools zum Entfernen bösartiger Software bereitgestellt. Es kann nun die Malware-Familien Win32/Tofsee und Win32/Zoxpng erkennen und entfernen. Anwender sollten die Updates schnellstmöglich installieren. Sie können über die jeweiligen Bulletins oder Microsoft Update beziehungsweise Windows Update bezogen werden.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Was wissen Sie über Microsoft? Testen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.