Patchday: Microsoft schließt kritische Lücken in Windows und Office

Microsoft hat an seinem Patch-Dienstag im September zwölf Sicherheitsupdates veröffentlicht. Sie beheben insgesamt 56 Schwachstellen in Windows, Office, Internet Explorer, SharePoint, .NET Framework, Exchange Server, Lync, Skype for Business Server sowie dem neuen Browser Edge beheben. Fünf Aktualisierungen werden als kritisch eingestuft, da sie Remotecodeausführung ermöglichen. Die übrigen sieben Bulletins sind mit dem Schweregrad „hoch“ versehen. Sie erlauben laut Microsoft Rechteerweiterung, Offenlegung von Informationen, das Umgehen von Sicherheitsfunktionen, Denial of Service (DoS) und ebenfalls Remotecodeausführung.

Der erste wichtige Patch MS15-094 beseitigt als kumulatives Sicherheitsupdate für Internet Explorer gleich 17 Schwachstellen, darunter kritische Speicherfehler-Lücken. Betroffen sind nahezu alle Versionen des Microsoft-Browsers – von IE7 unter Windows Server 2008 bis zu IE11 in der neuesten Windows-Version 10. Öffnet der Nutzer eine manipulierte Website, kann ein Angreifer dessen Benutzerrechte erlangen und Schadcode aus der Ferne ausführen.

Das kritische Update MS15-098 betrifft ebenfalls alle unterstützten Windows-Versionen. Es behebt eine Anfälligkeit in Windows Journal, das standardmäßig bei allen Windows-Client-Versionen vorinstalliert ist. Windows-Server-Umgebungen sind nur betroffen, wenn Windows Journal durch Aktivieren der Funktion Desktopdarstellung installiert wurde. Um die Lücke zur Remotecodeausführung auszunutzen, müssen Angreifer den Nutzer dazu verleiten, eine manipulierte Journaldatei zu öffnen.

Das dritte kritische Bulletin MS15-095 korrigiert als kumulatives Update Fehler im Windows-10-Browser Edge. Die schwerwiegensten können auch hier Remotecodeausführung ermöglichen, wenn der Anwender eine mit Schadcode versehene Website öffnet. Laut Microsoft sind Benutzer mit Konten, die über weniger Systemrechte verfügen, davon möglicherweise weniger betroffen als Benutzer mit Administratorrechten.

Das vierte kritische Update MS15-097 beseitigt eine Schwachstelle in der Microsoft-Graphics-Komponente von Windows, Office und Lync. Hier ist Remotecodeausführung möglich, wenn der Nutzer manipulierte Dateien oder Websites öffnet, in die OpenType-Schriftartdateien eingebettet sind. Die Sicherheitsaktualisierung MS15-099 stuft Microsoft für alle unterstützten Editionen von Office 2007, 2010, 2013 und 2013 RT als kritisch ein. Ein Angreifer, der die Cross-Site-Scripting-Lücke erfolgreich ausnutzt, kann beliebigen Code im Kontext des aktuellen Benutzers ausführen und auf diese Weise Daten stehlen, etwa Cookies zur Authentifizierung.

Die restlichen Updates beheben weniger gravierende Sicherheitsprobleme. Neben den zwölf Patches stellt Microsoft wie üblich auch eine aktualisierte Version seines „Windows-Tool zum Entfernen bösartiger Software“ bereit. Das Programm erkennt und löscht eine Auswahl gängiger Malware, die sich im System eingenistet hat.

Anwender sollten vor allem die kritischen Updates schnellstmöglich installieren, falls sie nicht ohnehin die automatische Aktualisierung unter Windows nutzen. Die Patches können direkt über die jeweiligen Bulletins oder Microsoft Update beziehungsweise Windows Update bezogen werden.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Was wissen sie über Microsoft? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.