Microsoft zieht fehlerhaftes Sicherheitsupdate für Exchange Server 2010 zurück

Microsoft hat ein am Dienstag veröffentlichtes Sicherheitsupdate für Exchange Server zurückgezogen. Davon betroffen ist allerdings nur Exchange Server 2010 Service Pack 3 Update Rollup 8. Die Patches für die Exchange-Versionen 2007 und 2013 sowie die Sprachpakete für Exchange Server 2013 Unified Messaging sind nach Unternehmensangaben nicht fehlerhaft.

Der Softwarekonzern reagiert damit auf Beschwerden von Nutzern, die nach Installation des Updates keine Verbindung zwischen ihrem Outlook-Client und dem Exchange Server herstellen konnten. Microsoft hat es aus seinem Download-Center entfernt und auch die Verteilung über Windows Update eingestellt. Betroffenen Nutzern rät es, das Update zu deinstallieren. Mehr sei nicht notwendig, um die Verbindung zwischen Outlook und Exchange wiederherzustellen.

Den Patch MS14-075 bewertet Microsoft als wichtig. Er behebt insgesamt vier Anfälligkeiten, die unter anderem eine unautorisierte Erweiterung von Nutzerrechten ermöglichen. Ein Angreifer muss sein Opfer nur dazu verleiten, auf eine speziell gestaltete URL zu klicken, die zu einer Outlook-Web-App-Website führt. Einige der Schwachstellen lassen sich aber auch für Spoofing-Attacken nutzen, da die Outlook Web App unter Umständen Anforderungstokens nicht korrekt überprüft.

Besonders heikel ist, dass Microsoft den Exchange-Patch ursprünglich schon für den November-Patchday angekündigt hatte. Am 11. November hielt es jedoch zwei Sicherheitsupdates ohne Angabe von Gründen zurück, darunter das fragliche Exchange-Update. Das andere – ein Patch für eine Zero-Day-Lücke in Windows – reichte es am 18. November nach.

Microsoft hat in den vergangenen Monaten mehrfach fehlerhafte Updates zurückgezogen. Im September waren beispielsweise Lync Server und OneDrive for Business betroffen. Im August waren zudem eine Sicherheitsaktualisierung und mehrere nicht sicherheitsrelevante Updates zunächst entfernt und später neue veröffentlicht worden. Auch Apple musste Probleme bei der Qualitätssicherung einräumen und zog Ende September einen Fix für iOS 8 und Anfang des Monats ein Sicherheitsupdate für Safari 6, 7 und 8 zurück.

[mit Material von Larry Seltzer, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de