Patchday: Microsoft beseitigt 41 Sicherheitslücken im Internet Explorer

Insgesamt veröffentlicht Microsoft an seinem Februar-Patchday neun Sicherheitsupdates, die auch Anfälligkeiten in Windows und Office beseitigen. Gestopft wird auch eine seit Anfang Dezember bekannte Zero-Day-Lücke.

Zum aktuellen Februar-Patchday hat Microsoft neun Sicherheitsupdates veröffentlicht, von denen drei Anfälligkeiten aktualisieren, die als kritisch eingestuft sind. Darunter ist ein kumulatives Update für Internet Explorer, mit dem Microsoft insgesamt 41 Löcher in seinem Browser stopft. Eines davon hatte HPs Zero Day Initiative Anfang Dezember öffentlich gemacht, nachdem es Microsoft nicht gelungen war, innerhalb von 180 Tagen einen Fix zu entwickeln.

Patchday

Das Internet-Explorer-Update, das für die Versionen 6, 7, 8, 9, 10 und 11 bereit steht, beinhaltet auch eine neue Version des Flash-Player-Plug-ins, die Adobe seit vergangener Woche verteilt. Die ebenfalls in der vergangenen Woche öffentlich gemachte Schwachstelle im Microsoft-Browser, die Phishing-Angriffe ermöglicht, bleibt jedoch vorerst ungepatcht.

Microsoft bewertet auch sechs Bugs in den Windows-Kernelmodustreibern als kritisch. Sie erlauben das Einschleusen und Ausführen von Schadcode. Ein Benutzer muss dafür nur ein speziell gestaltetes Dokument öffnen oder eine Website besuchen, in die TrueType-Schriftarten eingebettet sind. Davon betroffen sind Windows Server 2003, Vista, Server 2008, 7, Server 2008 R2, 8 und 8.1, Server 2012 und 2012 R2, Windows RT und RT 8.1 und die Technical Preview von Windows 10 und Windows Server Next.

Bei der Verwendung von Gruppenrichtlinien tritt eine weitere Sicherheitsanfälligkeit in Windows auf, und zwar dann, wenn „ein Angreifer einen Benutzer mit einem in eine Domäne eingebundenen System dazu verleitet, eine Verbindung mit einem vom Angreifer gesteuerten Netzwerk herzustellen“. Der Patch steht ebenfalls für alle unterstützten Versionen von Windows zur Verfügung. Laut Jeff Schmidt, der das Leck entdeckt hat, handelt es sich um einen „ungewöhnlichen, wenn nicht sogar noch nie dagewesen“ Fehler. Für den Fix habe Microsoft Kernkomponenten seines Betriebssystems ändern und zahlreiche neue Funktionen hinzufügen müssen.

Laut Microsoft ist das auch der Grund dafür, dass dieses Update nicht für Windows Server 2003 angeboten wird. „Auf Systemen mit Windows Server 2003 ist die Architektur nicht vorhanden, um die in dem Update bereitgestellte Fehlerbehebung ordnungsgemäß zu unterstützen. Deswegen ist es nicht möglich, eine Problembehebung für Windows Server 2003 zu erstellen. Dazu müsste ein beträchtlicher Teil der Architektur des Betriebssystems Windows Server 2003 umgestaltet werden, nicht nur die betroffene Komponente. Das Ergebnis einer solchen Umgestaltung der Architektur wäre hinreichend inkompatibel mit Windows Server 2003, sodass es keine Garantie dafür gäbe, dass für Windows Server 2003 ausgelegte Anwendungen weiterhin auf dem aktualisierten System ausgeführt werden können“, heißt es im Advisory MS15-011. Der Support für Windows Server 2003 läuft allerdings erst am 14. Juli 2015 ab.

Microsoft stuft die restlichen sechs Patches als wichtig ein. Sie beseitigen Anfälligkeiten in Office 2007, 2010 und 2013, Word- und Excel-Viewer, Windows, der Microsoft Graphics-Komponente und System Center Virtual Machine Manager. Sie erlauben die Umgehung von Sicherheitsfunktionen, Remotecodeausführung oder eine nicht autorisierte Ausweitung von Nutzerrechten.

Darüber hinaus hat der Konzern angekündigt, dass es SSL 3.0 in der Ausgangskonfiguration von Internet Explorer 11 und für seine eigenen Services im April deaktiviert. Zudem verhindert der jetzt bereitgestellte Patch, dass Internet Explorer 11 im geschützten Modus SSL 3.0 als Notlösung für HTTPS akzeptiert.

Ein weiteres, nicht sicherheitsrelevantes Update für Visual Studio 2010 Tools for Office Runtime hat Microsoft innerhalb von 2 Stunden nach der Veröffentlichung wieder zurückgezogen. Zuvor hatten sich zahlreiche Nutzer über Probleme bei der Installation des Updates beschwert.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit 15 Fragen auf ITespresso.de

Anja Schmoll-Trautmann
Autor: Anja Schmoll-Trautmann
Redakteurin
Anja Schmoll-Trautmann Anja Schmoll-Trautmann Anja Schmoll-Trautmann

Neueste Kommentare 

Noch keine Kommentare zu Patchday: Microsoft beseitigt 41 Sicherheitslücken im Internet Explorer

Schreib einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *