Windows: Microsoft behebt Zero-Day-Lücke

Microsoft hat mit einem Fix die Zero-Day-Sicherheitslücke in Windows geschlossen, die vor einer Woche von Google-Mitarbeitern entdeckt wurden. Zudem veröffentlicht das Unternehmen 14 Sicherheitsbulletins für Windows, Internet Explorer, Edge und die Flash-Plug-ins für Microsofts Browser. Insgesamt wartet Microsoft am November-Patch-Day mit 82 Fixes für Sicherheitslücken auf.

Die Schwachstelle mit der Kennung CVE-2016-7255 in der Datei Win32k.sys wird derzeit von russischen Hackern für Cyber-Angriffe benutzt. Microsoft stuft die Schwachstelle, durch die eine unautorisierte Ausweitung von Benutzerrechten möglich ist, als hoch ein. Betroffen sind Windows Vista, Server 2008, 7, Server 2008 R2, 8.1 und RT 8.1, Server 2012 und 2012 R2, 10 und Server 2016.

In Edge und Internet Explorer stecken 24 kritische Lücken, durch die das Einschleusen und Ausführen von Schadcode möglich sind. Für einen Angriff muss ein Nutzer lediglich auf eine speziell gestaltete Website gelockt werden, die mit Edge oder IE angezeigt wird. Wenn er als Administrator angemeldet, kann der Hacker sogar vollständig die Kontrolle über das System übernehmen.

Als kritisch sind auch vier Lücken in der Microsoft-Grafikkomponente eingestuft. Diesen Schweregrad vergibt Microsoft auch für drei weitere Anfälligkeiten in allen Windows-Versionen, die eine Remotecode-Ausführung oder eine Rechte-Erweiterung erlauben. Ersteres gilt auch für die neuen Bugs in Flash Player, für die Adobe seit gestern Abend ein eigenes Update anbietet.

(Bild: Shutterstock)

(Bild: Shutterstock)

Das Update MS16-133 beseitigt 12 Anfälligkeiten in Office 2007, 2010, 2013 und 2013 RT, 2016 sowie Office für Mac 2011 und Office 2016 für Mac. Die Fehler stecken in den Anwendungen Word und Excel. Weitere sechs Löcher werden durch ein Update für SQL Server 2012, 2014 und 2016 gestopft.

Windows wieder sicherer?

Zehn sicherheitsrelevante Bugs korrigiert Microsoft in den Treibern des gemeinsamen Protokollsystems. Administratorrechte erhalten Angreifer, die drei Fehler in den Windows-Authentifizierungsmethoden ausnutzen. Zuvor müssen sie sich jedoch mit gültigen Anmeldeinformationen bei einem mit einer Domäne verbundenen Zielsystem authentifizieren. Eine Rechteerweiterung ist auch eine mögliche Folge von vier Lücken in Microsofts virtuellen Festplattentreibern.

Der Patch MS16-140 schließlich soll die Umgehung von Sicherheitsfunktionen unter Windows 8.1 und RT 8.1, Server 2012, 10 und Server 2016 verhindern. Dafür werden bestimmte Richtlinien für den Start-Manager zurückgerufen. Unter Umständen wird für den Patch laut Microsoft aber auch ein Firmwareupdate des Originalgeräteherstellers (OEM) benötigt.

[mit Material von Andreas Donath, Übergizmo.de]

Neueste Kommentare 

Noch keine Kommentare zu Windows: Microsoft behebt Zero-Day-Lücke

Schreib einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *