Microsoft schließt 60 Sicherheitslücken

Microsoft nimmt bei seinem Update-Dienstag im Juli keine Rücksicht auf die Urlaubszeit. In 14 Security Bulletins werden 59 Sicherheitslücken behandelt, hinzu kommt noch eine Schwachstelle im Windows-Tool zum Entfernen bösartiger Software. Mindestens drei der Lücken werden bereits aktiv ausgenutzt, je eine in Windows, im Internet Explorer sowie in Office. Für weitere Lücken ist bereits Beispiel-Code veröffentlicht worden.

MS15-058

Die Liste der Security Bulletins eröffnet das im Juni vermisste Bulletin MS15-058, das drei Schwachstellen in Microsoft SQL Server behandelt. Zwei Lücken eignen sich, um Code einzuschleusen und auszuführen; eine kann genutzt werden, um sich höhere Rechte zu verschaffen. Betroffen sind SQL Server 2008, 2008 R2, 2012 und 2014. Microsofts Risikoeinschätzung lautet "hoch".

MS15-065, MS15-066

Allein 29 Sicherheitslücken hat Microsoft im Internet Explorer 6 bis 11 geschlossen, die meisten gelten als kritisch für Desktop-Systeme. Mehrere Schwachstellen sind bereits öffentlich bekannt, eine weitere wird schon bei Angriffen ausgenutzt. Eine kritische Lücke in VBScript, die im Bulletin MS15-066 behandelt wird, kann über den Internet Explorer ausgenutzt werden. Microsoft beseitigt sie im Internet Explorer 8 bis 11 mit den Updates zum Bulletin MS15-065. Für Internet Explorer 6 und 7 finden hingegen die separaten Updates zum Bulletin MS15-066 Anwendung.

MS15-067

Eine als kritisch eingestufte Sicherheitslücke im Remote Desktop Protocol (RDP) betrifft Windows 7, 8 (nicht 8.1) und Server 2012. Anfällig ist nur RDP 8.0 - Version 8.1 hingegen nicht, sofern das Update 3069762 nicht installiert ist. Besagtes Update bringt einige Server-seitige Funktionen, die nicht jeder Benutzer unbedingt benötigt und die die Angriffsfläche erhöhen. RDP ist nur bei den Enterprise- und Ultimate-Editionen von Windows 7 standardmäßig installiert.

MS15-068

In Microsofts Virtualisierungslösung Hyper-V hat der Hersteller zwei kritische Sicherheitslücken geschlossen, die es einem Angreifer ermöglichen Code einzuschleusen und auszuführen. Betroffen sind Windows 8 und 8.1, Server 2008, 2008 R2, 2012 und 2012 R2. Windows 8.1 und Server 2012 R2 sind von beiden Lücken betroffen, die anderen Systeme nur von einer.

MS15-069

Damit beginnt der Reigen der Bulletins, in denen Microsoft Schwachstellen abhandelt, die es nicht als kritisch ansieht. Im Bulletin MS15-069 geht um eine Schwachstelle beim Laden von Programmbibliotheken (DLLs) - ein Problem, das bei Windows bereits seit Jahren immer wieder mal auftaucht. In diesem Fall müsste ein Angreifer zunächst eine präparierte DLL im Arbeitsverzeichnis des Benutzers ablegen und ihn dann dazu bringen, eine RTF-Datei (Rich Text Format) zu öffnen oder ein Programm aufzurufen, das die besagte DLL statt einer vertrauenswürdigen Bibliothek lädt. Im Erfolgsfall könnte der Angreifer so die volle Kontrolle über das System erlangen.

MS15-070

Auch Microsoft Office bekommt im Juli Sicherheits-Updates. Sie stopfen acht Lücken, die mit einer Ausnahme alle geeignet sind, um Code einzuschleusen und mit den Rechten des angemeldeten Benutzers auszuführen. Anfällig sind Office 2007, 2010, 2013, Office RT 2013, Office für Mac 2011, Excel Viewer, Word Viewer sowie das Microsoft Office Compatibility Pack. Eine der Lücken betrifft zudem Sharepoint Server 2007, 2010 und 2013. Eine Schwachstelle (CVE-2015-2424) wird laut Microsoft bereits bei Angriffen ausgenutzt.

MS15-071 bis MS15-077
Die letzten sechs Security Bulletins behandeln Schwachstellen, durch deren Ausnutzung sich ein Angreifer höhere Berechtigungen verschaffen könnte. Mit Ausnahme von MS15-071 sind jeweils alle unterstützten Windows-Versionen anfällig, einschließlich Server. MS15-071 betrifft alle Server-Editionen, von 2003 bis 2012 R2. MS15-077 behandelt eine Lücke im Treiber für ATM-Fonts (Adobe Type Manager; atmfd.dll), die bereits aktiv ausgenutzt wird. Im Erfolgsfall könnte ein Angreifer damit die volle Kontrolle über das System erlangen.

Die Schwachstelle Nummer 60 steckt im Windows-Tool zum Entfernen bösartiger Software.

Mit diesem Patch Day endet der Support für Windows Server 2003. Für Systeme, die direkt oder indirekt über das Internet erreichbar sind, wird es also höchste Zeit für den Wechsel. (PC Welt/mje)

u.U. - unter Umständen
RCE - Remote Code Execution: eingeschleuster Code wird ausgeführt
EoP - Elevation of Privilege: Ausweitung von Berechtigungen