Microsoft kündigt Update gegen LNK-Lücke an

Bereits seit mehr als zwei Wochen ist eine schwerwiegende Sicherheitslücke in Windows bekannt, die es Angreifern ermöglicht Malware zu starten, ohne dass ein Benutzer mitwirken müsste. Microsoft hat am heutigen Abend (früher Vormittag in Redmond) für den kommenden Montag ein außerplanmäßiges Sicherheits-Update angekündigt, das diese Schwachstelle beseitigen soll.

Das in Aussicht gestellte Update wird es allerdings nur für diejenigen Windows-Versionen geben, die Microsoft noch unterstützt. Windows 2000 und Windows XP mit Service Pack 2 (oder niedriger) werden dauerhaft ohne Schutz vor der LNK-Lücke bleiben. Die Unterstützung für diese Windows-Versionen ist seit dem letzten Patch Day im Juli abgelaufen. Das gilt nicht für Windows XP x64 Edition, da dessen Service Pack 2 der letzte Stand ist und nicht dem SP2 der 32-Bit-Version entspricht. Neben Windows XP SP3 werden noch Vista und Windows 7 mit Updates versorgt sowie die Server-Versionen 2003, 2008 und 2008 R2.

Die LNK-Lücke basiert auf einem Fehler bei der Behandlung von Verknüpfungsdateien (*.LNK), wie sie für die Systemsteuerung verwendet werden. Das Auslesen der in speziell präparierten Verknüpfungen enthaltenen Dateisymbole (Icons) kann zum Start von Programmdateien genutzt werden, ohne dass ein Benutzer die Verknüpfung anklicken muss. Das Öffnen eines Ordners oder Laufwerks, das eine derart präparierte Verknüpfung enthält, genügt. Das funktioniert etwa mit externen Laufwerken wie USB-Sticks, aber auch mit Netzwerkfreigaben und per WebDAV.

Der Fehler kann jedoch auch auf anderen Wegen ausgenutzt werden. So sind auch PIF-Dateien und in Dokumente eingebettete Verknüpfungen als Angriffsvektor geeignet. Diese Möglichkeiten hat allerdings bislang noch kein bekannt gewordener Schädling auszunutzen versucht. Bisher entdeckte Schädlinge nutzen LNK-Dateien.

Die von Microsoft und Antivirusherstellern in den letzten Tagen bereit gestellten speziellen Schutzmaßnahmen helfen nur gegen einen Teil der denkbaren Angriffsvektoren und bringen auch jeweils Nachteile mit sich. Angesichts des Risikos sind diese jedoch bis zur Installation des für Montag, den 2. August gegen 19 Uhr deutscher Zeit in Aussicht gestellten Updates hinnehmbar.