Updates für Windows, IE, OneNote, SharePoint
Patch-Day: Microsoft schließt kritische Sicherheitslücken in Windows und Internet Explorer
Bereits seit Oktober 2003 besteht der Microsoft Patch-Day als reguläre Einrichtung. An diesem Tag veröffentlicht der Softwarehersteller eine Auflistung entdeckter Sicherheitsrisiken inklusive der Lösungen. Der feste Monatszyklus der gemeldeten Schwachstellen ermöglicht den IT-Verantwortlichen ihre Systeme in einem festen Rhythmus auf den aktuellen Sicherheitsstand zu bringen. Der Bezeichnung Patch-Day hat sich für diesen Tag etabliert, offiziell soll dieser nun "Update Tuesday" heißen.
Zudem hat Microsoft eine Änderung am Exploitability Index vorgenommen. Diese soll zur besseren Charakterisierung des Risikos für Kunden am Tag der Veröffentlichung des Updates dienen. Kunden finden jetzt geänderte Formulierungen bei der Bewertung, darunter eine neue Einstufung von "0" für "Missbrauch festgestellt".
Am aktuellen August-2014-Patch-Day veröffentlicht Microsoft sieben Sicherheits-Bulletins. Erläuterungen zum Bewertungssystem der Updates finden Sie hier. Es sind alle unterstützten Windows-Versionen betroffen, als da wären: Windows Vista, Windows 7 ebenso wie Windows 8, 8.1 und RT. Beim den Server-Ausgaben gilt dies für: Windows Server 2003, Server 2008, Server 2008 R2 und natürlich Windows Server 2012 samt Windows Server 2012 R2.
Die beiden kritischen Lücken betreffen Windows und den Internet Explorer. Letzteren auch in allen noch unterstützten Versionen, will heißen vom IE7 bis Internet Explorer 11 sind alle Browser-Varianten betroffen. Die kritischen Lücken würden das Ausführen vom beliebigen Code aus der Ferne erlauben (Remote Code Execution). Gleiches gilt für die kritische Lücke in Windows, die ebenfalls über ein Sicherheitsupdate geschlossen wird.
Die sieben als wichtig beziehungsweise hoch eingestuften Sicherheitsupdates betreffen unter anderem folgende Software: Windows und das .NET-Framework, Microsoft OneNote 2007 (SP3), den SQL Server (und zwar SQL Server 2008 (R2), SQL Server 2012 und SQL Server 2014, den SharePoint Server 2013 sowie das Windows Media Center TV Pack for Windows Vista. Vier der Sicherheitslücken würde eine Rechteerhöhung (Elevation of Privilege) zulassen, die anderen ein Umgehen einer Sicherheitsfunktion.
Wie stets am Patch-Day stellt Microsoft auch das Anti-Malware-Tool in der neuen Version 5.15 den Anwendern zur Verfügung.
In der folgenden Bilderstrecke finden Sie alle Details zu den veröffentlichten Updates sowie die Links zu den Downloads und den detaillierten Angaben der Sicherheitsbedrohungen.
Um die Sicherheits-Updates zu installieren, sollten Sie die Windows-Update-Funktion nutzen. Damit wird gewährleistet, dass alle wichtigen Patches installiert werden. (mje)
- MS14-043 - Sicherheitsanfälligkeit in Windows Media Center kann Remotecodeausführung ermöglichen
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Microsoft Office-Datei öffnet, Windows Media Center-Ressourcen aufruft. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der aktuelle Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.<br> <b>Betroffene Software: </b> Microsoft Windows<br> <b>Bewertung / Eigenschaften: </b> Kritisch / Remote-Code-Ausführung - MS14-044 - Sicherheitsanfälligkeiten in SQL Server können Erhöhung von Berechtigungen ermöglichen
Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft SQL Server (eine in SQL Server Master Data Services und die andere im SQL Server Managementsystem für relationale Datenbanken). Die schwerwiegendere dieser Sicherheitsanfälligkeiten, die SQL Server Master Data Services betrifft, kann eine Erhöhung von Berechtigungen ermöglichen, wenn ein Benutzer eine speziell gestaltete Website besucht, die ein clientseitiges Skript in die Benutzerinstanz von Internet Explorer einschleust. Ein Angreifer kann Benutzer nicht zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website des Angreifers gelangen, oder eine Dateianlage zu öffnen, die per E-Mail gesendet wurde.<br> <b>Betroffene Software: </b>Microsoft SQL Server<br> <b>Bewertung / Eigenschaften: </b> Hoch / Erhöhung von Berechtigungen - MS14-045 - Sicherheitsanfälligkeiten in Kernelmodustreibern können Erhöhung von Berechtigungen ermöglichen
Dieses Sicherheitsupdate behebt drei vertrauliche gemeldete Sicherheits anfälligkeiten in Microsoft Windows. Die schwerste dieser Sicherheitsanfälligkeiten kann eine Erhöhung von Berechtigungen ermöglichen, wenn sich ein Angreifer bei dem System anmeldet und eine speziell gestaltete Anwendung ausführt. Ein Angreifer benötigt gültige Anmeldeinformationen und muss sich lokal anmelden können, um diese Sicherheitsanfälligkeiten auszunutzen.<br> <b>Betroffene Software: </b>Microsoft Windows<br> <b>Bewertung / Eigenschaften: </b> Hoch / Erhöhung von Berechtigungen - MS14-046 - Sicherheitsanfälligkeit in .NET Framework kann Umgehung der Sicherheitsfunktion ermöglichen
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft .NET Framework. Die Sicherheitsanfälligkeit kann eine Umgehung der Sicherheitsfunktion ermöglichen, wenn ein Benutzer eine speziell gestaltete Website besucht. In einem webbasierten Angriffsszenario kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, die Sicherheitsfunktion „Zufällige Anordnung des Layouts des Adressraums (ASLR)“ umgehen, die Benutzer vor einer breiten Palette von Sicherheitsanfälligkeiten schützt. Die Umgehung der Sicherheitsfunktion allein ermöglicht nicht die Ausführung von beliebigem Code. Ein Angreifer kann diese Sicherheitsanfälligkeit durch die Umgehung von ASLR in Verbindung mit einer anderen Sicherheitsanfälligkeit verwenden, etwa eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung, um die Umgehung von ASLR dahingehend auszunutzen, beliebigen Code auszuführen.<br> <b>Betroffene Software: </b>Microsoft Windows, .NET Framework<br> <b>Bewertung / Eigenschaften: </b> Hoch / Umgehung der Sicherheitsfunktion - MS14-047 - Sicherheitsanfälligkeit in LRPC kann Umgehung der Sicherheitsfunktion ermöglichen
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit kann eine Umgehung der Sicherheitsfunktion ermöglichen, wenn ein Angreifer die Sicherheitsanfälligkeit in Verbindung mit einer anderen Sicherheitsanfälligkeit verwendet, etwa einer Sicherheitsanfälligkeit bezüglich Remotecodeausführung, welche die ASLR-Umgehung dazu ausnutzt, beliebigen Code auszuführen.<br> <b>Betroffene Software: </b>Microsoft Windows<br> <b>Bewertung / Eigenschaften: </b> Hoch / Umgehung der Sicherheitsfunktion - MS14-048 - Sicherheitsanfälligkeit in OneNote kann Remotecodeausführung ermöglichen
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft OneNote. Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn eine speziell gestaltete Datei in einer betroffenen Version von Microsoft OneNote geöffnet wird. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der aktuelle Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.<br> <b>Betroffene Software: </b>Microsoft Office<br> <b>Bewertung / Eigenschaften: </b> Hoch / Remote-Code-Ausführung - MS14-049 - Sicherheitsanfälligkeit im Windows-Installationsdienst kann Erhöhung von Berechtigungen ermöglichen
Dieses Sicherheitsupdate behebt eine öffentlich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit kann eine Erhöhung von Berechtigungen ermöglichen, wenn ein Angreifer eine speziell gestaltete Anwendung ausführt, mit der versucht wird, eine zuvor installierte Anwendung zu reparieren. Ein Angreifer benötigt gültige Anmeldeinformationen und muss sich lokal anmelden können, um diese Sicherheitsanfälligkeit auszunutzen.<br> <b>Betroffene Software: </b>Microsoft Windows<br> <b>Bewertung / Eigenschaften: </b> Hoch / Erhöhung von Berechtigungen - MS14-050 - Sicherheitsanfälligkeit in Microsoft SharePoint Server kann Erhöhung von Berechtigungen ermöglichen
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Dynamics AX. Ein authentifizierter Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann mithilfe einer speziell gestalteten App beliebiges JavaScript im Kontext des Benutzers auf der aktuellen SharePoint-Website ausführen.<br> <b>Betroffene Software: </b>Microsoft SharePoint Server<br> <b>Bewertung / Eigenschaften: </b> Hoch / Erhöhung von Berechtigungen - MS14-051 - Kumulatives Sicherheitsupdate für Internet Explorer
Dieses Sicherheitsupdate behebt eine öffentlich und fünfundzwanzig vertraulich gemeldete Sicherheitsanfälligkeiten in Internet Explorer. Die schwerwiegenderen dieser Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite mit Internet Explorer anzeigt. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der aktuelle Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.<br> <b>Betroffene Software: </b>Microsoft Windows, Internet Explorer<br> <b>Bewertung / Eigenschaften: </b> Kritisch / Remote-Code-Ausführung - Malicious Software Removal Tool
Das Anti-Malware-Tool steht in der Version 5.15 zum Download parat.