Updates für Windows, Internet Explorer, Office

Patch-Day: Microsoft schließt kritische Lücken im IE und in Windows

Insgesamt acht Sicherheitsupdates bringt der Oktober-Patch-Day 2013 von Microsoft. Das kumulative Sicherheitsupdate für den Internet Explorer soll die im September bekannt gewordene gefährliche Schwachstelle des Browsers schließen.

Bereits seit Oktober 2003 besteht der Microsoft Patch-Day als reguläre Einrichtung. An diesem Tag veröffentlicht der Softwarehersteller eine Auflistung entdeckter Sicherheitsrisiken inklusive der Lösungen. Der feste Monatszyklus der gemeldeten Schwachstellen ermöglicht den IT-Verantwortlichen ihre Systeme in einem festen Rhythmus auf den aktuellen Sicherheitsstand zu bringen.

Am aktuellen Oktober-2013-Patch-Day veröffentlicht Microsoft acht Sicherheits-Bulletins. Von den acht Sicherheitsupdates sind vier als "kritisch" und zehn als "wichtig" eingestuft.

Die kritischen Schwachstellen finden sich in Windows und dem Internet Explorer und zwar in allen derzeit offiziell unterstützten Versionen: Dies sind Windows XP (SP3), Windows Vista, Windows 7 ebenso wie Windows 8 und RT. Beim den Server-Ausgaben gilt dies für: Windows Server 2003, Server 2008, Server 2008 R2 und natürlich Windows Server 2012. Beim Internet Explorer gilt dies für die Versionen 6 bis 10. Mit von der Partie sind jetzt auch Windows 8.1 und Windows RT 8.1. Darüber hinaus ist das .NET-Framework von einem kritischen Update betroffen.

Die wichtigen Updates betreffen unter anderem Microsoft Office, da sollten Nutzer aller gängigen Versionen von Office 2003 bis Office 2013 die Patches einspielen.

Die durch die Updates geschlossenen Lücken bergen bei Missbrauch die Risiken des Ausführens von beliebigem Code aus der Ferne (Remote Code Execution) sowie Informationslecks (Information Disclosure).

Wie immer gibt es auch ein neues das Anti-Malware-Tool zum Entfernen bösartiger Software, das nun in der Version 5.5 zur Verfügung steht.

In der folgenden Zusammenfassung sind die Details der sieben veröffentlichten Updates aufgelistet. Die Links zu den Bulletins führen zu den detaillierten Angaben der Sicherheitsbedrohungen. Um die Sicherheits-Updates zu installieren, sollten Sie die Windows-Update-Funktion nutzen. Damit wird gewährleistet, dass alle wichtigen Patches installiert werden. (mje)

Bulletin

Titel

Bewertung / Eigenschaften

Betroffene Software

MS13-080

Kumulatives Sicherheitsupdate für Internet Explorer (2879017)

Dieses Sicherheitsupdate behebt eine öffentlich und neun vertraulich gemeldete Sicherheitsanfälligkeiten in Internet Explorer. Die schwerwiegendsten Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite mit Internet Explorer anzeigt. Ein Angreifer, der die schwerwiegendste dieser Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte erlangen wie der aktuelle Benutzer. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

kritisch / Remote-Code-Ausführung

Microsoft Windows, Internet Explorer

MS13-081

Sicherheitsanfälligkeiten in Windows-Kernelmodustreibern können Remotecodeausführung ermöglichen (2870008)

Dieses Sicherheitsupdate behebt sieben vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Windows. Die schwerwiegendste dieser Sicherheitsanfälligkeiten kann Remotecodeausführung ermöglichen, wenn ein Benutzer freigegebene Inhalte anzeigt, in die OpenType- oder TrueType-Schriftartdateien eingebettet sind. Nutzt ein Angreifer diese Sicherheitsanfälligkeiten erfolgreich aus, kann er vollständige Kontrolle über ein betroffenes System erlangen.

kritisch / Remote-Code-Ausführung

Microsoft Windows

MS13-082

Sicherheitsanfälligkeiten in .NET Framework können Remotecodeausführung ermöglichen (2878890)

Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten und eine öffentlich gemeldete Sicherheitsanfälligkeit in Microsoft .NET Framework. Die schwerwiegendste der Sicherheitsanfälligkeiten kann Remotecodeausführung ermöglichen, wenn ein Benutzer mithilfe eines Browsers, der XBAP-Anwendungen instanziieren kann, eine Website mit einer speziell gestalteten OTF-Datei (OpenType Font) besucht.

kritisch / Remote-Code-Ausführung

Microsoft Windows, Microsoft .NET Framework

MS13-083

Sicherheitsanfälligkeit in der Bibliothek der allgemeinen Windows-Steuerelemente kann Remotecodeausführung ermöglichen (2864058)

Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Angreifer eine speziell gestaltete Webanforderung an eine ASP.NET-Webanwendung sendet, die auf einem betroffenen System ausgeführt wird. Ein Angreifer kann diese Sicherheitsanfälligkeit ohne Authentifizierung ausnutzen, um beliebigen Code auszuführen.

kritisch / Remote-Code-Ausführung

Microsoft Windows

MS13-084

Sicherheitsanfälligkeiten in Microsoft SharePoint Server können Remotecodeausführung ermöglichen (2885089)

Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Office Server-Software. Die schwerwiegendste Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Office-Datei in einer betroffenen Version von Microsoft SharePoint Server, Microsoft Office-Diensten oder Web Apps öffnet.

hoch / Remote-Code-Ausführung

Microsoft Office, Microsoft Serve Software

MS13-085

Sicherheitsanfälligkeiten in Microsoft Excel können Remotecodeausführung ermöglichen (2885080)

Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Office. Die Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Office-Datei mit einer betroffenen Version von Microsoft Excel oder anderer betroffener Microsoft Office-Software öffnet. Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte erlangen wie der aktuelle Benutzer. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

hoch / Remote-Code-Ausführung

Microsoft Office

MS13-086

Sicherheitsanfälligkeiten in Microsoft Word können Remotecodeausführung ermöglichen (2885084)

Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Office. Die Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn eine speziell gestaltete Datei in einer betroffenen Version von Microsoft Word oder anderer betroffener Microsoft Office-Software geöffnet wird. Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte erlangen wie der aktuelle Benutzer. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

hoch / Remote-Code-Ausführung

Microsoft Office

MS13-087

Sicherheitsanfälligkeit in Silverlight kann Offenlegung von Information ermöglichen (2890788)

Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Silverlight. Die Sicherheitsanfälligkeit kann Offenlegung von Informationen ermöglichen, wenn ein Angreifer eine Website mit einer speziell gestalteten Silverlight-Anwendung hostet, mit der diese Sicherheitsanfälligkeit ausgenutzt werden kann, und dann einen Benutzer zum Anzeigen der Website verleitet. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Solche Websites können speziell gestaltete Inhalte enthalten, mit denen diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer jedoch nicht zum Besuch einer solchen Website zwingen. Er muss den Benutzer zum Besuch einer Webseite verleiten. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken. Es besteht ebenfalls die Möglichkeit, speziell gestalteten Webinhalt mithilfe von Bannerwerbungen anzuzeigen oder Webinhalt auf andere Weise an betroffene Systeme zu übermitteln.

hoch / Offenlegeung von Informationen

Microsoft Silverlight