Windows, Internet Explorer, SharePoint
Patch-Day März 2013: Microsoft schließt 20 Sicherheitslücken
Bereits seit Oktober 2003 besteht der Microsoft Patch-Day als reguläre Einrichtung. An diesem Tag veröffentlicht der Softwarehersteller eine Auflistung entdeckter Sicherheitsrisiken inklusive der Lösungen. Der feste Monatszyklus der gemeldeten Schwachstellen ermöglicht den IT-Verantwortlichen ihre Systeme in einem festen Rhythmus auf den aktuellen Sicherheitsstand zu bringen.
Am aktuellen März-2013-Patch-Day veröffentlicht Microsoft sieben Sicherheits-Bulletins. Insgesamt schließen die Updates 20 Sicherheitslücken, so schließt das kumulative Update für den Internet Explorer gleich acht Lücken. Bei den Schwachstellen im Internet Explorer, kann beispielsweise der Aufruf einer modifizierten Webseite ausreichen, um beliebigen Code aus der Ferne auf dem Rechner des Opfers auszuführen.
Von den insgesamt sieben Sicherheitsupdates sind vier als "kritisch" und drei als "wichtig" eingestuft. Es sind nahezu alle Windows-Versionen betroffen, als da wären: Windows XP (SP3), Windows Vista, Windows 7 ebenso wie Windows 8 und RT. Beim den Server-Ausgaben gilt dies für: Windows Server 2003, Server 2008, Server 2008 R2 und auch Windows Server 2012.
Dies beinhaltet auch den Internet Explorer und zwar von der Version 6 bis hin zur neuen Version 10. Darüber hinaus schließen die Updates Lücken in Microsoft Visio 2010 (SP1) sowie dem Visio Viewer. Ebenfalls betroffen ist Microsoft Silverlight und zwar sowohl Windows- wie auch Mac-Installationen. In Sachen Server-Software ist diesmal der SharePoint Server 2010 von einer kritischen Lücke betroffen.
Die durch die Updates geschlossenen Lücken können bei Missbrauch die Risiken des Ausführens von beliebigem Code aus der Ferne (Remote Code Execution) und Rechteerhöhung (Elevation of Privilege) ermöglichen. Darüber hinaus verursachen die Lücken Informationslecks (Information Disclosure).
Zum Patch-Day kommt auch in Regelmäßigkeit ein neues Anti-Malware-Tool zum Entfernen bösartiger Software, das nun in der Version 4.18 zur Verfügung steht.
In der folgenden Zusammenfassung sind die Details der sieben veröffentlichten Updates aufgelistet. Die Links zu den Bulletins führen zu den detaillierten Angaben der Sicherheitsbedrohungen. Um die Sicherheits-Updates zu installieren, sollten Sie die Windows-Update-Funktion nutzen. Damit wird gewährleistet, dass alle wichtigen Patches installiert werden. (mje)
|
Bulletin |
Titel |
Bewertung / Eigenschaften |
Betroffene Software |
|
MS13-021 |
Kumulatives Sicherheitsupdate für Internet Explorer (2809289) Dieses Sicherheitsupdate behebt acht vertraulich gemeldete Sicherheitsanfälligkeiten und eine öffentlich gemeldete Sicherheitsanfälligkeit in Internet Explorer. Die schwerwiegendsten Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite mit Internet Explorer anzeigt. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der aktuelle Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten. |
kritisch / Remote-Code-Ausführung |
Microsoft Windows, Internet Explorer |
|
MS13-022 |
Sicherheitsanfälligkeit in Silverlight kann Remotecodeausführung ermöglichen (2814124) Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Silverlight. Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Angreifer eine Website mit einer speziell gestalteten Silverlight-Anwendung hostet, mit der diese Sicherheitsanfälligkeit ausgenutzt werden kann, und dann einen Benutzer zum Anzeigen der Website verleitet. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Solche Websites können speziell gestaltete Inhalte enthalten, mit denen diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer jedoch nicht zum Besuch einer solchen Website zwingen. Er muss den Benutzer zum Besuch einer Webseite verleiten. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken. Es besteht ebenfalls die Möglichkeit, speziell gestalteten Webinhalt mithilfe von Bannerwerbungen anzuzeigen oder Webinhalt auf andere Weise an betroffene Systeme zu übermitteln. |
kritisch / Remote-Code-Ausführung |
Microsoft Silverlight |
|
MS13-023 |
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Office. Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Visio-Datei öffnet. Ein Angreifer, der die Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte erlangen wie der aktuelle Benutzer. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten. |
kritisch / Remote-Code-Ausführung |
Microsoft Office |
|
MS13-024 |
Sicherheitsanfälligkeiten in SharePoint können Erhöhung von Berechtigungen ermöglichen (2780176) Dieses Sicherheitsupdate behebt vier vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft SharePoint und Microsoft SharePoint Foundation. Die schwerwiegendsten dieser Sicherheitsanfälligkeiten können die Erhöhung von Berechtigungen ermöglichen, wenn ein Benutzer auf eine speziell gestaltete URL klickt, die den Benutzer zu der betroffenen SharePoint-Website führt. |
kritisch / Erhöhung von Berechtigungen |
Microsoft Server Software, Microsoft Office |
|
MS13-025 |
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft OneNote. Die Sicherheitsanfälligkeit kann die Offenlegung von Informationen ermöglichen, wenn ein Angreifer einen Benutzer dazu verleitet, eine speziell gestaltete OneNote-Datei zu öffnen. |
hoch / Offenlegung von Informationen |
Microsoft Office |
|
MS13-026 |
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Office für Mac. Die Sicherheitsanfälligkeit kann eine Offenlegung von Informationen ermöglichen, wenn ein Benutzer eine speziell gestaltete E-Mail-Nachricht öffnet. |
hoch / Offenlegung von Informationen |
Microsoft Office |
|
MS13-027 |
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit kann Denial-of-Service ermöglichen, wenn ein Angreifer versucht, auf einer schreibgeschützten Freigabe einen Dateivorgang durchzuführen. Ein Angreifer, der diese Sicherheitsanfälligkeit ausnutzt, kann bewirken, dass das betroffene System nicht mehr reagiert und dann neu startet. Die Sicherheitsanfälligkeit betrifft nur Windows-Server, auf denen die NFS-Rolle aktiviert ist. |
hoch / Erhöhung von Berechtigungen |
Microsoft Windows |