2077884

Microsoft stopft 43 Lücken in Windows, Office und IE

13.05.2015 | 14:04 Uhr |

Beim Patch Day am 12. Mai hat Microsoft 13 Security Bulletins veröffentlicht. Drei Bulletins befassen sich mit als kritisch eingestuften Schwachstellen in Windows und im Internet Explorer.

Auch wenn Microsoft öffentlich darüber nachdenkt, den traditionellen Patch Day abzuschaffen, findet er zurzeit noch an jedem zweiten Dienstag eines Monats statt. Im Mai hat Microsoft 13 Security Bulletins veröffentlicht, die 42 Sicherheitslücken behandeln. Betroffen sind neben Windows und dem Internet Explorer auch Office, Sharepoint, das .NET Framework und Silverlight.

Der größte Einzelposten ist wie so oft das kumulative Sicherheits-Update für den Internet Explorer (IE). Im IE 6 bis 11 stecken insgesamt 22 Schwachstellen, von denen Microsoft etliche als kritisch einstuft. Sie können es einem Angreifer ermöglichen Code einzuschleusen und auszuführen. Dazu kann der Besuch einer präparierten Web-Seite mit dem IE genügen. Um potenzielle Opfer auf diese Seite zu locken, würde ein Angreifer zum Beispiel einen Link per Mail versenden.

Die Lücken in VBScript und JScript, die Microsoft im Bulletin MS15-053 behandelt, werden mit dem kumulativen IE-Update beseitigt, soweit es neuere Windows- und IE-Versionen betrifft. Für Rechner mit dem Internet Explorer 6 und 7 unter Windows Vista sowie Server 2003 und 2008 gibt es separate Updates.

Weitere als kritisch eingestufte Lücken betreffen den Schriftartentreiber und das Windows Journal aller Windows-Versionen. Beim Journal ist Server 2003 ausgenommen. Windows Journal ist nicht auf allen Windows-Systemen standardmäßig installiert. Auch diese insgesamt acht Schwachstellen können es einem Angreifer erlauben eingeschleusten Code auszuführen.

Jeweils eine von zwei Sicherheitslücken schließt Microsoft in den Office-Versionen 2007, 2010 und 2013 für Windows sowie 2011 für Mac. Auch einzeln installierte Office-Anwendungen (etwa Word, Excel, Powerpoint) sowie die kostenlos erhältlichen Viewer sind betroffen. Ein Angreifer könnte mit speziell präparierten Office-Dokumenten Code einschleusen, der beim Öffnen der Dateien in anfälligen Office-Anwendungen mit den Rechten des angemeldeten Benutzers ausgeführt würde.

Auch eine Sharepoint-Lücke kann ausgenutzt werden, um Code auszuführen. Betroffen sind Sharepoint Server 2001, 2007 und 2013. Ein angemeldeter Benutzer kann spezielle Seiteninhalte an einen Sharepoint Server senden. Enthaltener Code würde im Kontext des W3WP-Dienstkontos ausgeführt. Ist der Sharepoint Server so konfiguriert, dass auch anonyme Benutzer Zugriff erhalten, ist keine Benutzeranmeldung nötig. Standardmäßig sind anonyme Zugriffe nicht zugelassen.

Je nach Windows-Version und installiertem .NET Framework sind alle unterstützten Systeme durch mindestens eine von zwei Schwachstellen im .NET Framework betroffen. Eine der Lücken ermöglicht DoS-Attacken (Denial of Service), die andere kann ausgenutzt werden um höhere Berechtigungen zu erlangen. Damit könnte sich ein Angreifer die vollständige Kontrolle über das System verschaffen.

Eine Schwachstelle in Microsofts Flash-Surrogat Silverlight kann ebenfalls ausgenutzt werden, um sich höhere Rechte zu verschaffen. Betroffen sind alle Windows-Versionen sowie auch Mac OS X, sofern Silverlight 5 installiert ist. Um die Lücke auszunutzen, ist ein Benutzeranmeldung erforderlich. Der angemeldete Benutzer muss zudem eine speziell gestaltete Silverlight-Anwendung ausführen.

Weitere Windows-Lücken können ausgenutzt werden, um höhere Berechtigungen zu erlangen, Sicherheitsmechanismen wie ASLR zu umgehen oder DoS-Attacken auszuführen. Das Update zum Bulletin MS15-055 erhöht die minimale Schlüssellänge für TLS-Verbindungen auf 1024 Bits. Betroffen ist die Komponente Secure Channel ("Schannel") aller Windows-Versionen.

Außerdem verteilt Microsoft die neue Version 5.24 seines Schädlingsbekämpfers "Windows-Tool zum Entfernen bösartiger Software".

Bulletin

Risikostufe

Ausnutz-barkeit

Effekt

anfällige Software/Komponente(n)

Neustart nötig?

MS15-043

kritisch

1

RCE

Windows (alle); Internet Explorer 6 bis 11

ja

MS15-044

kritisch

1

RCE

Windows (alle); Schriftartentreiber

u.U.

MS15-045

kritisch

2

RCE

Windows (alle außer Server 2003); Windows Journal

u.U.

MS15-046

hoch

1

RCE

MS Office (2007 bis 2013, auch Mac); Excel, Powerpoint, Word

u.U.

MS15-047

hoch

2

RCE

Sharepoint Server 2007, 2010, 2013

u.U.

MS15-048

hoch

3

EoP, DoS

Windows (alle); .NET Framework

u.U.

MS15-049

hoch

2

EoP

Windows (alle), Mac; Silverlight 5

nein

MS15-050

hoch

2

EoP

Windows (alle); Dienststeuerungs-Manager

ja

MS15-051

hoch

3

EoP

Windows (alle); Kernelmodustreiber

ja

MS15-052

hoch

2

SFB

Windows 8.x, RT, Server 2012 / R2; System-Kernel

ja

MS15-053

hoch

2

SFB

Windows Vista, Server 2003 / 2008; VBScript, JScript, IE 6 und 7

u.U.

MS15-054

hoch

2

DoS

Windows (alle außer Server 2003);MMC, MSC-Dateien

ja

MS15-055

hoch

1

ID

Windows (alle); Secure Channel

ja

u.U. – unter Umständen
RCE – Remote Code Execution: eingeschleuster Code wird ausgeführt
EoP – Elevation of Privilege: Ausweitung von Berechtigungen
SFB - Security Feature Bypass: Sicherheitsfunktion umgehen
DoS - Denial of Service: Programm stürzt ab oder reagiert nicht mehr
ID – Information Disclosure: Datenleck

0 Kommentare zu diesem Artikel
2077884