Drei kritische Sicherheits-Updates von Microsoft
Wie angekündigt hat der Software-Hersteller Microsoft gestern Abend insgesamt neun neue Sicherheits-Patches veröffentlicht. Vier als kritisch bewertete Sicherheitslücken betreffen das Betriebssystem Windows und den Webbrowser Internet Explorer. Dafür stehen drei Patches zum Download bereit. Die Bedeutung vier weiterer Updates ordnet Microsoft als hoch ein, die der restlichen beiden Patches als wichtig. User sollten so bald wie möglich die Patches entweder über die Windows Update-Funktion oder von der Übersichtsseite herunterladen, da einige der Programmierfehler bereits ausgenutzt werden.
Als kritisch bezeichnet das Software-Unternehmen die Sicherheitsanfälligkeiten in DirectShow (Security Bulletin MS05-050), in MSDTC und COM+ (MS05-051) sowie im Internet Explorer durch Speicherbeschädigung bei Instanziierung von COM-Objekten (MS05-052). Über jede dieser Schwachstellen ist die Codeausführung von Remotestandorten aus möglich, d.h. Angreifer können vollständige Kontrolle über ein betroffenes System erlangen.
Die selbe Gefahr droht in geringerem Ausmaß bei Sicherheitsanfälligkeiten in den Windows-Komponenten Client Services für NetWare (MS05-046), Plug-and-Play (MS05-047), Microsoft Collaboration Data Objects (MS05-048) und Windows Shell (MS05-049) vor. In diesen Fällen müssen jedoch bestimmte Voraussetzungen erfüllt sein, damit ein Angreifer die Kontrolle über einen nicht gepatchten Rechner übernehmen kann. Beispielsweise benötigt ein Angreifer gültige Anmeldeinformationen und muss sich lokal anmelden können, um die PnP-Sicherheitslücke ausnutzen zu können. Die Client Services für Netware dagegen sind unter Microsoft Windows gar nicht standardmäßig installiert.
Weitere Gefahren bei ungepatchten Systemen: Unerlaubte Änderungen am Speicherort von Dateiübertragungen könnte zudem eine Sicherheitsanfälligkeit im Windows FTP-Client ermöglichen (MS05-044), die für die Verwaltung von Netzwerk- und Remotezugriffsverbindungen zuständige Windows-Komponente kann aufgrund einer Schwachstelle im Network Connection Manager per Denial-of-Service-Attacke außer Kraft gesetzt werden (MS05-045).