Microsoft-Patchday bringt 16 Patches, schließt 34 Lücken
Microsoft schließt an seinem monatlichen Patchday kritische Lücken in allen Windows-Versionen und musste erstmals auch den IE9 patchen.
- Ronald Eikenberg
Patch-Reigen aus Redmond: Microsoft hat an seinem Juni-Patchday insgesamt 16 Patches herausgegeben, die 34 Sicherheitslücken betreffen. Neun der Patches schließen kritische Sicherheitslücken, durch die Angreifer Code übers Netz ins System schleusen können, sieben weitere Patches hält Microsoft immerhin noch für wichtig – Admins und Anwender sollten also schleunigst reagieren. Sicherheitsfixes gibt es für alle unterstützten Windows-Versionen, Internet Explorer (erstmals auch für Version 9), Office, .NET, SQL, Visual Studio, Silverlight, und ISA.
Das Bulletin MS11-050 behebt eine ganze Reihe Sicherheitslücken, durch die sich Nutzer des Internet Explorer bis hin zur aktuellen Version 9 beim Besuch einer verseuchten Webseite mit Schadcode infizieren können. Hierfür können Angreifer unter anderem einen Fehler bei der Verarbeitung von Link-Eigenschaften ausnutzen. Zudem kann man sich beim Besuch einer Webseite, auf der sich präparierte WMF-Bilder befinden, mit Schadcode infizieren.
Auch mit dem sogenannten Cookiejacking macht Microsoft mit diesem Patchday Schluss: Gelingt es einem Angreifer, den Windows-Benutzernamen des potentiellen Opfers in Erfahrung zu bringen, kann er beliebige Cookies auslesen. Ebenfalls für unerlässlich hält Microsoft das Bulletin MS11-052. Ein Fehler bei der Verarbeitung von Vektorgrafiken im VML-Format erlaubt Angreifern das Ausführen von Schadcode. Betroffen sind hiervon alle Internet-Explorer-Versionen bis einschließlich 8.
Ein weiterer Patch behebt eine kritische Lücke im SMB-Client aller Windows-Versionen. Über einen präparierten SMB-Befehl kann ein Angreifer die volle Kontrolle über den Rechners des Opfers erlagen. Hierzu muss der Angreifer das Opfer lediglich dazu bringen, sich mit einem bestimmten SMB-Server zu verbinden; etwa durch einen per Mail verschickten Link.
Auch einen kritischen Windows-Fehler beim Verbindungsaufbau mit DFS-Servern hat Microsoft behoben. Ähnlich wie bei der SMB-Lücke könnte ein präparierter Server einen Client kompromittieren. Ein Patch für sämtliche Excel-Versionen schließt diverse Lücken, durch die man sich beim Öffnen infizierter Excel-Dokumente mit Schadcode infizieren kann. Die Patches werden über Windows Update zur Installation angeboten.
(rei)
