Microsoft schließt drei gravierende Sicherheitslücken in Outlook

Microsoft verteilt für Outlook 2007, 2010, 2013 und 2016 außerplanmäßige Sicherheits-Updates. Das Unternehmen stuft sie als “wichtig” ein und gibt in seiner Wissensdatenbank dazu jeweils ausführlichere Hinweise. Verteilt wird das Update automatisch über Windows Update. Dazu müssen automatische Updates aktiviert sein. Alternativ können Anwender den Weg über den Microsoft Update Catalog oder das Microsoft Download Center gehen.

Bisher sind Microsoft noch keine Angriffe auf die Lücken bekannt. Nutzer sollten die Updates aber dennoch umgehend einspielen, das zu erwarten ist, dass sich Angreifer die Informationen des Updates zunutze machen, um ungeachtet Rechner dann über die Lücken anzugreifen. In den jeweiligen Knowlege-Base-Artikeln für Outlook 2016, Outlook 2013, Outlook 2010 und Outlook 2007 nennt Microsoft Details zu den Schwachstellen und gibt Hinwiese, wie sie sich beheben lassen.

Das CERT Bund stuft das von den drei Lücken in Outlook ausgehende Risiko ebenfalls als “hoch” ein. Sie lassen sich offenbar bereits ausnutzen, wenn Angreifer Nutzer überzeugen können, eine Datei im Anhang zu öffnen. Wie zahlreiche Malware-Attacken in der Vergangenheit gezeigt haben, ist das trotz zahlreicher Warnungen, diesbezüglich vorsichtig zu sein, vergleichsweise einfach möglich.

PartnerZone

Effektive Meeting-und Kollaboration-Lösungen

Mitarbeiter sind heute mit Konnektivität, Mobilität und Video aufgewachsen oder vertraut. Sie nutzen die dazu erforderlichen Technologien privat und auch für die Arbeit bereits jetzt intensiv. Nun gilt es, diese Technologien und ihre Möglichkeiten in Unternehmen strategisch einzusetzen.

Um die Schwachstellen mit den nun verfügbaren Aktualisierungen beheben zu können, müssen laut CERT Bund die entsprechenden Release-Versionen von Microsoft Office installiert sind. „Dies sind Microsoft Office 2007 SP3, Microsoft Office 2010 SP2, Microsoft Office 2013 SP1 und Microsoft Office 2016. Zusätzlich stehen neue Versionen von Microsoft Office 2010, 2013 und 2016 Click-To-Run zur Verfügung”, teilt die Behörde mit.

Die mit der Kennung CVE-2017-8663 bezeichnete Lücke erlaubt es mit einer entsprechend manipulierten Datei Speicherfehler zu verursachen. Angreifer können dann beliebigen eigenen Code ausführen. Die nun ebenfalls geschlossene Lücke CVE-2017-8571 ermöglicht es Unbefugten, Sicherheitsmechanismen zu umgehen. Danach können sie auf dem angegriffenen Rechner aus der Ferne Befehle ausführen. Die Lücke mit der Kennung CVE-2017-8572 könnten Angreifer ausnutzen, um Informationen aus dem Speicher auszulesen

Redaktion

Recent Posts

Mehr Datenschutz in der Montage

Assistenzsysteme unterstützen Monteure bei der Arbeit. Zu oft zahlt man jedoch mit den eigenen Daten…

2 Tagen ago

Cyber Resilience Act: Countdown läuft

Hersteller werden stärker in die Pflicht genommen, den gesamten Lebenszyklus ihrer Produkte in den Blick…

2 Tagen ago

KI auf dem Prüfstand

LLMs besitzen einerseits innovative neue Fähigkeiten, stellen Unternehmen allerdings auch vor diverse Herausforderungen: ob EU…

3 Tagen ago

Rechenzentren: Deutschland verliert Anschluss

Server-Ausbau in den USA und China macht große Fortschritte, deutscher Weltmarktanteil sinkt. Lichtblicke in Frankfurt…

3 Tagen ago

KI steigert Nachfrage nach hybriden Workplace-Umgebungen

Der Markt für Workplace Services gerät in Bewegung. Das bestmögliche digitale Nutzererlebnis gilt als Schlüssel…

4 Tagen ago

Hagebau erreicht E-Mail-Sicherheit mit der NoSpamProxy Cloud

Schutz für 10.000 Postfächer über rund 200 Domains: Private-Stack-Variante kombiniert Vorteile einer Cloud-Lösung mit Sicherheit…

4 Tagen ago