Microsoft behebt mit ersten Patch-Rollups 49 Sicherheitslücken
Die nun geschlossenen Schwachstellen stecken in beiden Microsoft-Browsen, in Microsoft Office, Skype for Business und in Windows. Mit den aktuellen Sicherheits-Updates werden auch die Lücken CVE-2016-3298 im Internet Explorer, CVE-2016-7193 in Office und CVE-2016-3393 in Windows Graphics Component geschlossen, die ausnutzen können, um ein System aus der Ferne zu übernehmen.
Mit dem Patch-Rollup, das die traditionellen Patchdays ablöst, hat Microsoft jetzt insgesamt 49 Sicherheitslücken behoben. Dem Unternehmen zufolge werden davon fünf als “kritisch” eingestuft. Sie stecken im Browser Edge, dem Internet Explorer sowie in Microsoft Office und wurden möglicherweise bereits für Angriffe ausgenutzt, bevor sie öffentlich bekannt wurden.
Die Sicherheitslücke im Internet Explorer trägt die Kennung CVE-2016-3298 und erlaubt es einem Angreifer Microsoft zufolge aus der Ferne zu prüfen, ob auf einem Speichermedium bestimmte Dateien vorhanden sind. Um dei Lücke auszunutzen, reicht es aus, den Nutzer auf eine präparierte Website zu locken. Die Lücke CVE-2016-7189 steckt in der Scripting Engine von Edge. Auch hier genügt Angreifern eine präparierte Website. Auch die Windows Graphics Component weist eine aus der Ferne ausnutzbare Schwachstelle auf (CVE-2016-3393).
Die Schwachstelle CVE-2016-7193 in Microsoft Office erlaubt es Angreifer ebenfalls die Kontrolle über ein System zu übernehmen. Das gelingt aber nur, falls der aktuelle Nutzer Administratorrechte hat. Experten empfehlen immer wieder, mehrere Benutzerkonten auf einem Rechner einzurichten und das Administratorkonto tatsächlich nur zu verwenden, wenn Verwaltungsaufgaben anstehen. Das ist eine einfache, kostenlose und in vielen Fällen schon sehr effektive Sicherheitsmaßnahme. Die Infektion ist bei CVE-2016-7193 durch einen Dateianhang oder den Besuch einer präparierten Website möglich.
Gleichzeitig liefert Microsoft auch erstmals die monatlichen Patch-Rollups für Windows 7, 8.1, Windows Server 2008 R2, Windows Server 2012 und Server 2012 R2. Damit werden sicherheitsrelevante Fehlerbehebungen zu kumulativen Updates zusammengefasst. Sie werden – in mehreren Varianten – über Windows Update (WU), WSUS, SCCM und den Windows Update Catalog verteilt.
Optimierungsbedarf bei Logistikprozessen?
Die Lösung lautet: Dokumentenmanagement. Erfahren Sie im kostenlosen E-Book, wie ein Dokumentenmanagement-System (DMS) Ihnen helfen kann, Ihre Logistikprozesse zu verbessern – von der Artikelnummer bis zur Zustellung. Lesen Sie außerdem, wie Sie ein DMS auch im laufenden Betrieb zeit- und kostensparend implementieren können.
Das auch als “Monthly Rollup” bezeichnete “Security Monthly Quality Update” umfasst Sicherheitsfixes des aktuellen Monats und der Vormonate. Es ist für Consumer-PCs gedacht und wird über Windows Update verteilt, kann aber auch über die WSUS und den Windows Update Catalog bezogen werden.
Das “Preview Rollup” liefert die Patch-Rollups der Vormonate und eine Preview der nicht sicherheitsrelevanten, für den Folgemonat geplanten Fixes. Es soll im Lauf der Zeit um ältere Fixes erweitert werden und sich somit zu einem vollständigen, kumulativen Update entwickeln, mit dem ein neu installierter PC auf den neuesten Stand gebracht wird. Für .NET Framework und Internet Explorer wird es eigene Rollup-Updates geben.
[mit Material von Florian Kalenda, ZDNet.de]
