Dezember-Patchday: Microsoft schließt erneut Zero-Day-Lücke in Windows

Microsoft hat an seinem Dezember-Patchday mehrere Sicherheitsupdates veröffentlicht, die insgesamt 38 Schwachstellen beseitigen. Darunter sind neun als kritisch bewerte Anfälligkeiten, von denen eine wiederum als Zero-Day-Lücke einzustufen ist, weil sie bereits aktiv von Hackern für zielgerichtete Angriffe eingesetzt wird.

Die Zero-Day-Lücke steckt laut Microsofts Security Advisory im Windows Kernel und erlaubt eine nicht autorisierte Ausweitung von Nutzerrechten. „Ein Angreifer, der die Schwachstelle erfolgreich ausnutzt, könnte beliebigen Schadcode im Kernel-Modus ausführen“, heißt es dort. „Ein Angreifer könnte anschließend Programme installieren, Daten ansehen, ändern oder löschen oder neue Benutzerkonten mit allen Rechten anlegen.“

Um den Fehler ausnutzen zu können, muss ein Hacker allerdings bereits Zugriff auf ein System haben – beispielsweise über eine andere Sicherheitslücke, die eine Remotecodeausführung ermöglicht. Das ist offenbar den Cyber-Spionen gelungen, die laut Kaspersky Lab derzeit den Kernel-Bug für ihre Zwecke benutzen. Auf ihr Konto sollen auch Angriffe auf Zero-Day-Lücken in Windows gehen, die von Microsoft im Oktober beziehungsweise November gepatcht wurden.

Der Dezember ist jedoch bereits der vierte Monat in Folge, in dem Microsoft eine Zero-Day-Lücke patcht. Im September musste das Unternehmen auf Angriffe von nicht staatlich gesponserten Hackern reagieren, die über eine Windows-Lücke eine Hintertür verbreiteten.

Neben Windows erhalten auch Internet Explorer, Edge, Office, die Office Services und Office Web Apps, ChakraCore, .Net Framework und Windows Dynamics NAV seit gestern Abend neue Sicherheitspatches. Außerdem sollten Nutzer von Exchange Server, Visual Studio und Windows Azure Pack Ausschau nach verfügbaren Updates halten.

Nutzer von Edge und Internet Explorer 11 unter Windows 10 und 8.1 erhalten zudem die in der vergangenen Wochen veröffentlichte Version 32.0.0.101 des Adobe Flash Player. Das Update beseitigt ebenfalls eine kritische Zero-Day-Lücke.

Des Weiteren bietet Adobe seit gestern Abend im Rahmen seines Dezember-Patchdays fehlerbereinigte Versionen seiner PDF-Anwendungen an. Sie schließen 87 Sicherheitslücken, von denen 36 als kritisch bewertet wurden. Sie erlauben das Einschleusend und Ausführen von Schadcode aus der Ferne. Betroffen sind Reader und Acrobat DC, Reader und Acrobat Classic 2017 und Reader und Acrobat Classic 2015 für Windows und macOS.

Microsoft verteilt seine Patches über die Update-Funktion von Windows. Auch Adobes PDF-Apps verfügen über einen eigenen Updater, der die neuen Versionen automatisch herunterladen und installieren sollte.