Patchday: Microsoft schließt 18 kritische Lücken in Windows & Co.
Insgesamt gibt es diesen Monat 53 Sicherheitsupdates für Software von Microsoft. Die meisten kritischen Lücken klaffen in Edge und Internet Explorer.
Am Patchday im Juli hat Microsoft 53 Patches unter anderem für .NET Framework, ASP.NET, Edge, Internet Explorer, Office, Skype und Windows veröffentlicht. 18 Updates stuft Microsoft als "kritisch" ein – 33 Patches sind mit "wichtig" ausgezeichnet. Derzeit soll keine der Sicherheitslücken im Visier von Angreifern sein, versichert Microsoft.
Der Großteil der kritischen Schwachstellen gefährden Edge und Internet Explorer. Damit ein Angriff klappt, muss ein Opfer mitspielen und eine von einem Angreifer präparierte Webseite besuchen. Anschließend verschluckt sich die Chakra Scripting Engine und es kommt zu einem Speicherfehler. Das endet letztlich in der Ausführung von Schadcode mit den Rechten des Nutzers.
Eine weitere kritische Sicherheitslücke gefährdet die PowerShell. Dabei könnte ein Angreifer auf nicht näher beschriebenem Weg Schadcode in einen Service-Prozess des PowerShell-Editors schieben.
Weitere gefährliche Lücken
Generell gilt: Man sollte nicht, ohne nachzudenken, Dokumente öffnen, die man per E-Mail erhält. Im Anhang könnte beispielsweise ein von Angreifern erstelltes Word-Dokument sein, das nach dem Öffnen Schadcode auf den Computer holt und ausführt. Das kann derzeit über eine Lücke in Microsoft Office passieren.
Über eine Schwachstelle in der Windows-Bibliothek DNSAPI.dll könnten Angreifer mittels einer manipulierten DNS-Anfrage Systeme ausknipsen. Nutzen Hacker eine Schwachstelle in Microsoft Wireless Display Adapter aus, sollen sie in der Lage sein, Fehlfunktionen bei der Bildschirmübertragung auslösen zu können. Dafür müssen sie aber eingeloggt sein. Ein Firmware-Update schafft Abhilfe.
Das aktuelle Flash-Update für Edge und Internet Explorer 11 installiert sich unter Windows 8.1 und 10 automatisch.
Infos zu den weiteren Lücken findet man im offiziellen Security Update Guide. Dort ist es aber äußerst unübersichtlich. Eine bessere Auflistung findet man beispielsweise in einem Blog-Post von Trend Micros Zero Day Initiative. (des)
