Microsoft schließt kritische Lücken in Internet Explorer und SharePoint Server

Microsoft hat wie angekündigt acht Sicherheitsupdates veröffentlicht. Sie schließen insgesamt 14 Lücken, von denen drei bereits aktiv von Hackern ausgenutzt werden. Zwei Anfälligkeiten in Internet Explorer und drei in SharePoint Server stuft das Unternehmen als kritisch ein. Ein Angreifer könnte sie benutzen, um Schadcode einzuschleusen und auszuführen.

Das Update für Internet Explorer 6, 7, 8, 9, 10 und 11 beseitigt zwei Speicherfehler. Microsoft sind nach eigenen Angaben zielgerichtete Angriffe auf eine der beiden Lücken bekannt. In SharePoint Server 2007, 2010 und 2013 sowie den Office Web Apps, SharePoint Designer und SharePoint Server 2013 Client Components SDK stecken zwei Fehler, die eine Remotecodeausführung ermöglichen, sowie eine Cross-Site-Scripting-Lücke.

Im Security Bulletin MS14-023 beschreibt Microsoft zwei Anfälligkeiten in Office 2007, 2010, 2013 und 2013 RT. Von ihnen soll ein hohes Risiko ausgehen. Allerdings sind nur Nutzer betroffen, die die Rechtschreibprüfung für vereinfachtes Chinesisch verwenden. Ein Leck in .NET Framework 1.1 bis 4.5.1 kann zudem eine Erhöhung von Berechtigungen ermöglichen.

Die restlichen vier Fixes sollen Fehler in Windows Vista, Server 2008, 7, Server 2008 R2, 8 und 8.1, Server 2012 und 2012 R2 und Windows RT und RT 8.1 korrigieren. Unter anderem könnte ein Hacker ein mit den Gruppenrichtlinieneinstellungen gespeichertes Kennwort abrufen und entschlüsseln oder einen Denial-of-Service-Angriff gegen iSCSI ausführen. Eine Schwachstelle im Steuerelement MSCOMCTL erlaubt es zudem, die Sicherheitsfunktion Adress Space Layout Randomization (ASLR) zu umgehen.

Der Mai-Patchday ist der erste Patchday nach dem Ende des Supports für Windows XP und Office 2003. Auch SharePoint Portal Server 2003 erhält seit diesem Monat keine Updates mehr. Es ist davon auszugehen, dass unter anderem das Sicherheitsupdate für Internet Explorer auch Windows XP betrifft.

Wie jeden Monat verteilt Microsoft auch eine aktualisierte Version seines Windows-Tools zum Entfernen bösartiger Software. Sie kann, wie alle Patches, direkt über Windows Update oder die Microsoft-Website bezogen werden. Anwender sollten die Updates schnellstmöglich installieren.

[mit Material von Larry Seltzer, ZDNet.com]

Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.