Categories: BrowserWorkspace

Februar-Patchday schließt Zero-Day-Lücke in Internet Explorer

Microsofts Februar-Patchday behebt eine Zero-Day-Lücke in Internet Explorer. Diese hatte HPs Zero Day Initiative bereits Anfang Dezember veröffentlicht, da der Softwarekonzern nicht innerhalb von 180 Tagen einen Fix entwickeln konnte. Insgesamt stellt Microsoft neun Sicherheitsupdates zur Verfügung.

Das Update für Internet Explorer behebt 41 Fehler in den Versionen 6, 7, 8, 9, 10 und 11. Es bringt zudem eine neue Version des Flash-Player-Plug-ins, die Adobe seit vergangener Woche verteilt. Für die Browser-Schwachstelle, die Phishing-Angriffe ermöglicht, hat Microsoft noch keinen Fix entwickelt.

In den Windows-Kernelmodustreibern stecken Microsoft zufolge sechs kritische Fehler. Angreifer können sie ausnutzen, um Schadcode einzuschleusen und auszuführen. Dafür reicht es bereits, ein speziell gestaltetes Dokument zu öffnen oder eine Website zu besuchen, in die TrueType-Schriftarten eingebettet sind. Die Schwachstelle betrifft Windows Server 2003, Vista, Server 2008, 7, Server 2008 R2, 8 und 8.1, Server 2012 und 2012 R2, Windows RT und RT 8.1 und die Technical Preview von Windows 10 und Windows Server Next.

Eine weitere Sicherheitslücke in Windows entsteht bei der Verwendung von Gruppenrichtlinien, wenn “ein Angreifer einen Benutzer mit einem in eine Domäne eingebundenen System dazu verleitet, eine Verbindung mit einem vom Angreifer gesteuerten Netzwerk herzustellen”. Auch diesen Patch erhalten sämtliche unterstützten Windows-Versionen. Jeff Schmidt, der die Schwachstelle entdeckt hat, erklärte, dass es sich um einen “ungewöhnlichen, wenn nicht sogar noch nie dagewesen” Fehler handle. Microsoft habe für den Fix die Kernkomponenten des Betriebssystems ändern und zahlreiche neue Funktionen hinzufügen müssen.

Patch nicht für Windows Server 2003

Aus diesem Grund gebe es dieses Update nicht für Windows Server 2003, so Microsoft. “Auf Systemen mit Windows Server 2003 ist die Architektur nicht vorhanden, um die in dem Update bereitgestellte Fehlerbehebung ordnungsgemäß zu unterstützen. Deswegen ist es nicht möglich, eine Problembehebung für Windows Server 2003 zu erstellen. Dazu müsste ein beträchtlicher Teil der Architektur des Betriebssystems Windows Server 2003 umgestaltet werden, nicht nur die betroffene Komponente. Das Ergebnis einer solchen Umgestaltung der Architektur wäre hinreichend inkompatibel mit Windows Server 2003, sodass es keine Garantie dafür gäbe, dass für Windows Server 2003 ausgelegte Anwendungen weiterhin auf dem aktualisierten System ausgeführt werden können”, heißt es im Advisory MS15-011. Der Support für Windows Server 2003 läuft allerdings erst am 14. Juli 2015 ab.

Der Extended-Support für Windows Server 2003 R2 endet am 14. Juli 2015. (Bild: Microsoft)

Die restlichen sechs Patches stuft Microsoft als wichtig ein. Sie beseitigen Anfälligkeiten in Office 2007, 2010 und 2013, Word- und Excel-Viewer, Windows, der Microsoft Graphics-Komponente und System Center Virtual Machine Manager. Sie erlauben die Umgehung von Sicherheitsfunktionen, Remotecodeausführung oder eine nicht autorisierte Ausweitung von Nutzerrechten.

SSL 3.0 ab April standardmäßig deaktiviert

Darüber hinaus hat der Konzern angekündigt, dass es SSL 3.0 in der Ausgangskonfiguration von Internet Explorer 11 und für die eigenen Services im April deaktiviert. Zudem verhindert der jetzt bereitgestellte Patch, dass Internet Explorer 11 im geschützten Modus SSL 3.0 als Notlösung für HTTPS akzeptiert.

Ein weiteres, nicht sicherheitsrelevantes Update für Visual Studio 2010 Tools for Office Runtime hat Microsoft innerhalb von zwei Stunden nach der Veröffentlichung wieder zurückgezogen. Zuvor hatten sich zahlreiche Nutzer über Probleme bei der Installation des Updates beschwert.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.

Andre Borbe

Andre ist Jahrgang 1983 und unterstützte von September 2013 bis September 2015 die Redaktion von silicon.de als Volontär. Erste Erfahrungen sammelte er als Werkstudent in den Redaktionen von GMX und web.de. Anschließend absolvierte er ein redaktionelles Praktikum bei Weka Media Publishing. Andre hat erfolgreich ein Studium in politischen Wissenschaften an der Hochschule für Politik in München abgeschlossen. Privat interessiert er sich für Sport, Filme und Computerspiele. Aber die größte Leidenschaft ist die Fotografie.

Recent Posts

OT-Security braucht zunächst Asset-Transparenz

Unternehmen wissen oft nicht, welche Geräte in der Produktion eine IP-Adresse haben, warnt Peter Machat…

1 Tag ago

Künstliche Intelligenz erreicht die Cloud

KPMG-Studie: 97 Prozent der Cloud-nutzenden Unternehmen verwenden KI-Dienste von Cloud-Anbietern.

2 Tagen ago

AI Act: Durchblick im Regulierungsdickicht

Bitkom veröffentlicht Online-Tool und Leitfaden zum KI-Einsatz in Unternehmen. Beide Angebote sind kostenlos.

2 Tagen ago

Coveo beschleunigt europäisches Wachstum durch Expansion in der DACH-Region

Neue Kunden sind unter anderem SAP, Conforama Schweiz, 11teamsports, Phillip Morris International, Baywa und Thalia.

3 Tagen ago

Britische Behörden setzen auf Oracle Cloud

Oracle schafft einheitliche Plattform für vier Ministerien und über 250.000 Beamte mit der Oracle Applications…

3 Tagen ago

Windows 10: Wer haftet für Datenschutz nach Support-Ende?

Der Grund: Geräte, die mit veralteter Software arbeiten, sind anfällig für Cyberangriffe und Datenlecks.

3 Tagen ago