Microsoft schließt sechs kritische Office-Lücken
Am heutigen März-Patchday beseitigen die Redmonder Sicherheitslücken in Office 2000, XP und 2003 sowie in Windows XP Service Pack 1 und Windows Server 2003.
Zum heutigen Patchday hat Microsoft, wie angekündigt, jeweils einen Patch für MS-Office und für Windows veröffentlicht. Der Office-Patch schließt insgesamt sechs in Security-Bulletin MS06-012 beschriebene kritische Lücken in MS-Office 2000, XP und 2003 sowie der Works Suite, über die in manipulierten Office-Dokumenten eingebetteter Schadcode zur Ausführung gelangen kann. Ein Angreifer könnte dadurch sogar die vollständige Kontrolle über ein System erlangen, wenn er einen Nutzer mit Admin-Rechten dazu bringt, ein manipuliertes Dokument zu öffnen. Betroffen ist auch Microsoft Excel 2004 für Mac und Microsoft Excel X für Mac, hier stufen die Redmonder das Risiko allerdings nur als mittel ein.
Das Update für die im Security-Bulletin MS06-011 beschriebene Windows-Lücke betrifft Windows XP mit Service Pack 1 und Windows Server 2003. Wie aus der Fehlerbeschreibung hervorgeht, können Nutzer mit unprivilegiertem lokalen Zugang Änderungen an der Zugriffssteuerungsliste (Discretionary Access Control List – DACL) für Windows-Dienste vornehmen und sich so unter Umständen erweiterte Zugriffsrechte verschaffen. Laut Bulletin ließe sich die Lücke unter Windows Server 2003 durch Anwender der Gruppe "Network Configuration Operators" auch übers Netz ausnutzen, standardmäßig ist dieser Gruppe jedoch kein Benutzer zugewiesen.
Die März-Patches werden, wie gewohnt, durch den Windows-Update-Dienst eingespielt und sind über die Microsoft-Website abrufbar. Das kritische Office-Update legt nahe, die Patches möglichst bald zu installieren. Erfahrungsgemäß tauchen die ersten frei verfügbaren Exploits bereits wenige Tage nach Bekanntgabe der Details zu den Sicherheitslücken im Netz auf.
Siehe dazu auch: (cr)
- Deutsche Übersicht zum Patchday März 2006 von Microsoft
- Microsoft Security Bulletin Summary for March 2006, englische Fassung von Microsoft
- Vulnerabilities in Microsoft Office Could Allow Remote Code Execution von Microsoft
- Permissive Windows Services DACLs Could Allow Elevation of Privilege von Microsoft
