Microsoft schließt 58 Lücken in Windows, Office & Edge

Beim letzten Update-Dienstag des Jahres hat Microsoft, wie schon im November , 12 neue Security Bulletins veröffentlicht. Sie behandeln 58 Sicherheitslücken in Windows, im Internet Explorer (IE), in Edge, in Office, in Silverlight sowie im Windows Media Center. Zwei Lücken werden bereits für Angriffe ausgenutzt, eine davon betrifft Microsoft Office. Die ersten acht Bulletins tragen die Risikoeinstufung kritisch. Auch für Windows Server Technical Preview stellt Microsoft Updates bereit. MS15-124 – Internet Explorer (kritisch) Der Löwenanteil der gestopften Lücken entfällt einmal mehr auf den Internet Explorer 7 bis 11. Im betagten Browser hat Microsoft 30 teils als kritisch eingestufte Schwachstellen beseitigt. Die Mehrzahl kann ausgenutzt werden, um beliebigen Code einzuschleusen und auszuführen. Drei Lücken ermöglichen es den XSS-Filter (Cross-site Scripting) des IE zu umgehen. MS15-125 – Edge (kritisch) Auch im neuen Browser Edge für Windows 10 hat Microsoft reichlich Lücken gestopft, immerhin 15. Von diesen teilt sich Edge 11 mit dem IE. Zehn Schwachstellen eignen sich, um Code einzuschleusen und mit den Rechten des angemeldeten Benutzers auszuführen. MS15-126 – JScript/VBScript (kritisch) Das für JScript und VBScript zuständige Scriptmodul erhält ein eigenes Security Bulletin, obwohl beide hierin geschlossenen Sicherheitslücken auch schon beim IE aufgeführt sind. Das Scriptmodul kann auch durch andere Software benutzt werden. Eine der beiden Lücken ist als kritisch eingestuft, da ein Angreifer darüber Code einschleusen und ausführen kann. MS15-127 – DNS (kritisch) Eine Remote-Execution-Schwachstelle im DNS-Server (Domain Name System) ist schon etwas Besonderes. Sie betrifft allerdings nur die Server-Editionen von Windows. Es handelt sich bei CVE-2015-6125 um eine so genannte Use-after-free-Lücke. Um sie auszunutzen, muss ein Angreifer speziell gestaltete Anforderungen an den DNS-Server senden. Im Erfolgsfall kann er so Code einschleusen und mit lokalen Systemrechten ausführen. MS15-128 – Grafikkomponente (kritisch) Drei als kritisch eingestufte Schwachstellen in Windows können ausgenutzt werden, wenn die Schriftartenbibliothek eingebettete, speziell präparierte Schriftarten nicht korrekt verarbeitet. Dies betrifft auch verschiedene Ausgaben von Office 2007 und 2010, den kostenlosen Word Viewer, mehrere Versionen des .NET-Framework sowie Skype for Business 2016, Microsoft Lync 2013 und 2010. MS15-129 – Silverlight (kritisch) In Microsofts Flash-Surrogat Silverlight hat der Hersteller drei Sicherheitslücken geschlossen. Eine gilt als kritisch, denn ein Angreifer könnte mit Hilfe einer speziell präparierten Web-Seite oder eines Werbebanners Code einschleusen und ausführen. Das Sicherheits-Update bringt Silverlight auf die Version 5.1.41105.00. Auch Mac-Nutzer sind betroffen, falls Silverlight installiert ist. MS15-130 – Uniscribe (kritisch) In Uniscribe, einer Programmierschnittstelle für Schriftdarstellung, beseitigt Microsoft eine als kritisch eingestufte Schwachstelle. Sie betrifft nur Windows 7 und Server 2008 R2. Mit einer speziell präparierten Schriftart, die etwa in ein Dokument oder in eine Web-Seite eingebettet ist, könnte eine Angreifer Code einschleusen und ausführen. MS15-131 – Office (kritisch) In Microsoft Office schließt Microsoft sechs Sicherheitslücken, von denen Microsoft eine (CVE-2015-6124) als kritisch einstuft. Es handelt sich um eine Word-Lücke, die laut Microsoft bereits für Angriffe ausgenutzt wird. Betroffen sind alle unterstützten Office-Versionen. MS15-132 – Windows (hoch) Vor dem Laden von Windows-Bibliotheken prüft Windows (alle Versionen) Benutzereingaben nicht sorgfältig genug. Dadurch entstehen drei Sicherheitslücken, denen Microsoft die Risikostufe hoch zuordnet. Ein Angreifer, der eine der Lücken ausnutzt, könnte die volle Kontrolle über das System erlangen. Er müsste jedoch zunächst lokal auf den Rechner zugreifen und eine speziell präparierte Anwendung ausführen können. MS15-133 – Windows PGM (hoch) Im Pragmatic General Multicast (PGM)-Protokoll aller Windows-Versionen beseitigt Microsoft eine Schwachstelle, die ausgenutzt werden kann, um Code mit erhöhten Berechtigungen auszuführen. Dazu muss sich ein Angreifer zunächst am System anmelden. Betroffen sind nur Systeme, auf denen Microsoft Message Queuing (MSMQ) installiert und PGM aktiviert ist. MS15-134 – Windows Media Center (hoch) Im Windows Media Center stecken zwei Sicherheitslücken, von denen sich eine eignet, um Code einzuschleusen und auszuführen. Dazu muss ein Benutzer eine speziell präparierte MCL-Datei (Media Center Link) öffnen, die auf schädlichen Code verweist. Anfällig sind Windows Vista, 7, 8 und 8.1 mit eingerichtetem Windows Media Center. MS15-135 – Kernelmodustreiber (hoch) Eine für alle Windows-Versionen als wichtig eingestuftes Sicherheits-Update behebt vier Schwachstellen im Kernelmodustreiber. Ein Angreifer, der eine der Lücken ausnutzt, kann sich höhere Berechtigungen verschaffen, muss sich jedoch zuvor am System anmelden. Eine der Sicherheitslücken (CVE-2015-6175) wird bereits für Angriffe ausgenutzt. Außerdem verteilt Microsoft seine kleine Wurmkur, das Windows-Tool zum Entfernen bösartiger Software , in der neuen Version 5.31. Die Security Bulletins im Überblick:

u.U. – unter Umständen RCE – Remote Code Execution: eingeschleuster Code wird ausgeführt EoP – Elevation of Privilege: Ausweitung von Berechtigungen Ausnutzbarkeit: 0 – wird bereits ausgenutzt 1 – Ausnutzung wahrscheinlich 2 – Ausnutzung weniger wahrscheinlich 3 – Ausnutzung unwahrscheinlich