Kritische Lecks in Windows und Office behoben

Insgesamt zwölf Updates veröffentlicht Microsoft am Patch-Day im September. Damit behebt Microsoft insgesamt 56 Schwachstellen in Windows, Office, Internet Explorer, SharePoint, .NET Framework, Exchange Server, Lync, Skype for Business Server sowie dem neuen Browser Edge. Fünf dieser Patches bekommen von Microsoft die höchste Risikobewertung, da sie Remotecodeausführung ermöglichen. Die übrigen sieben Bulletins sind mit “hoch” bewertet. Sie erlauben laut Microsoft Rechteerweiterung, Offenlegung von Informationen, das Umgehen von Sicherheitsfunktionen, Denial of Service (DoS) und ebenfalls Remotecodeausführung.

Das kumulative Sicherheitsupdate MS15-094 beseitigt im Internet Explorer gleich 17 Schwachstellen, darunter kritische Speicherfehler-Lücken. Betroffen sind nahezu alle Versionen des Microsoft-Browsers – von IE7 unter Windows Server 2008 bis zu IE11 in der neuesten Windows-Version 10. Öffnet der Nutzer eine manipulierte Website, kann ein Angreifer dessen Benutzerrechte erlangen und Schadcode aus der Ferne ausführen.

Das kritische Update MS15-098 betrifft ebenfalls sämtliche unterstützten Windows-Versionen. Es behebt eine Anfälligkeit in Windows Journal, das standardmäßig bei allen Windows-Client-Versionen vorinstalliert ist. Windows-Server-Umgebungen sind nur betroffen, wenn Windows Journal durch Aktivieren der Funktion Desktopdarstellung installiert wurde. Um die Lücke zur Remotecodeausführung auszunutzen, müssen Angreifer den Nutzer dazu verleiten, eine manipulierte Journaldatei zu öffnen.

Das dritte kritische Bulletin MS15-095 korrigiert als kumulatives Update Fehler im Windows-10-Browser Edge. Die gefährlichsten Fehler können auch hier Remotecodeausführung ermöglichen, wenn der Anwender eine mit Schadcode versehene Website öffnet. Laut Microsoft sind Benutzer mit Konten, die über weniger Systemrechte verfügen, davon möglicherweise weniger betroffen als Benutzer mit Administratorrechten.

Das vierte kritische Update MS15-097 beseitigt eine Schwachstelle in der Microsoft-Graphics-Komponente von Windows, Office und Lync. Hier ist Remotecodeausführung möglich, wenn der Nutzer manipulierte Dateien oder Websites öffnet, in die OpenType-Schriftartdateien eingebettet sind. Die Sicherheitsaktualisierung MS15-099 stuft Microsoft für alle unterstützten Editionen von Office 2007, 2010, 2013 und 2013 RT als kritisch ein. Ein Angreifer, der die Cross-Site-Scripting-Lücke erfolgreich ausnutzt, kann beliebigen Code im Kontext des aktuellen Benutzers ausführen und auf diese Weise Daten stehlen, etwa Cookies zur Authentifizierung.

Die restlichen Updates beheben weniger gravierende Sicherheitsprobleme. Neben den zwölf Patches stellt Microsoft wie üblich auch eine aktualisierte Version des Windows-Tool zum Entfernen bösartiger Software” bereit. Das Programm erkennt und löscht eine Auswahl gängiger Malware, die sich im System eingenistet hat.

Anwender sollten vor allem die kritischen Updates schnellstmöglich installieren, falls sie nicht ohnehin die automatische Aktualisierung unter Windows nutzen, rät der Hersteller. Die Patches können direkt über die jeweiligen Bulletins oder Microsoft Update beziehungsweise Windows Update bezogen werden.

[mit Material von Björn Greif, ZDNet.de]

Tipp: Was wissen sie über Microsoft? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.