September-Patchday: Microsoft schließt Stuxnet-Lücke

Microsoft hat wie angekündigt neun Updates für Windows und Office veröffentlicht, die insgesamt 13 Sicherheitslöcher stopfen. Darunter ist ein Fehler im Druckerwarteschlangendienst (MS10-061), der zur Verbreitung der Malware Stuxnet missbraucht wurde.

Die von Kaspersky Lab und später auch von Symantec entdeckte Schwachstelle stuft Microsoft unter Windows XP als kritisch und unter anderen Versionen als wichtig ein. „Gäbe es hierfür keinen Patch, könnte daraus ein weiterer großer Wurm werden, ähnlich Blaster„, sagte Kurt Baumgartner, Senior Security Researcher bei Kaspersky.

Microsoft arbeitet nach eigenen Angaben an zwei weiteren Patches für Anfälligkeiten, die von Stuxnet ausgenutzt werden. Dafür muss ein Angreifer allerdings Zugang zu einem System haben. Wann die Fixes erscheinen, steht noch nicht fest.

Am September-Patchday hat Microsoft auch eine kritische Lücke im MPEG-4-Codec (MS10-062) geschlossen, die Drive-by-Downloads ermöglicht. Dafür muss ein Angreifer ein Opfer nur dazu verleiten, einen manipulierten Videostream zu starten.

Zwei weitere kritische Updates beseitigen Anfälligkeiten im Unicode-Schriftprozessor (MS10-063) und in Microsoft Outlook (MS10-064). Davon sind Windows XP, Server 2003, Vista und Server 2008 sowie Office XP, 2003 und 2007 betroffen.

Das Risiko, das von Schwachstellen in den Internet Information Services (MS10-065), RPC (MS10-066), den WordPad-Textkonvertern (MS10-067), dem Subsystem für die lokale Sicherheitsautorität (MS10-068) und dem Windows Client/Server-Runtime-Subsystem (MS10-069) ausgeht, stuft Microsoft als hoch ein. Die Fehler stecken in Windows 7, Vista, XP, Server 2003, Server 2008 und Server 2008 R2.

Microsoft hat außerdem zwei Sicherheitswarnungen veröffentlicht, die es zuvor nicht angekündigt hatte. Eine bezieht sich auf eine Anfälligkeit in Outlook Web Access, die Kunden von Microsoft Exchange betrifft. Die andere ist ein Update eines früheren Advisory. Es stellt Nutzern von Outlook Express und Windows Mail unter Windows XP, Server 2003, Vista und Server 2008 das optionale Sicherheitsfeature „Erweiterter Schutz für die Authentifizierung“ zur Verfügung.