It's Patch-Day!
Microsoft hat wie zuvor angekündigt im Rahmen seines allmonatlichen Patch-Days ein Sicherheits-Update zur Verfügung gestellt, welches mehrere kritische sowie weniger schwerwiegende Sicherheitslücken schließen soll. Insgesamt wurden dieses Mal sechs Patches im Update zur Verfügung gestellt.
Wie üblich wird dieses allen Nutzern, die die Windows-Update-Funktion aktiviert haben, automatisch zugestellt. Die Updates können aber auch manuell bei Microsofts Sicherheitsportal TechNet oder von den Downloadseiten des Herstellers heruntergeladen werden. TechNet ist jedoch sicherlich der einfachere und direktere Weg. Für die meisten Updates ist anschließend ein Neustart des Systems erforderlich.
Vier als kritisch eingestufte Lücken
Während nur jeweils eine Lücke als "mittel" und "hoch" eingestuft wurden, wurden gleich vier der Sicherheitsprobleme als "kritisch" bezeichnet. Fast alle der Schwachstellen kommen aufgrund von Remotecodeausführungen zustande - eines der häufigsten Probleme, mit denen Microsoft-Betriebssysteme zu kämpfen haben.
Das Security Bulletin MS07-031 behebt eine Sicherheitsanfälligkeit im SChannel-Sicherheitspaket (Security Channel) in Windows. Die Lücke würde die Ausführung von Remote-Zugriffen auf das System ermöglichen, wenn die Nutzer sich bestimmte Websites anzeigen ließen, die SSL/TLS nutzen. Auch das Security Bulletin MS07-033 fixt ähnliche Remotecodeausführungen über schädliche Websites und speziell gestaltete E-Mails, die über den Internet Explorer angezeigt werden. Dies könnte so genannte Spoofing-Angriffe (Verschleierung und Täuschung von Authentifizierungsverfahren, so zum Beispiel das Vortäuschen vertrauenswürdiger Websites, hinter denen sich in Wirklichkeit Schadcode verbirgt) ermöglichen.
Das Update mit der Bezeichnung MS07-034 wiederum wurde vor allem ein Problem mit Windows Mail von Windows Vista behoben - hier hätten Angreifer durch speziell gestaltete E-Mails erneut Remotecodes ausführen können. Die anderen enthaltenen Bugfixes beziehen sich laut Microsoft auf die Offenlegung von Informationen, wenn bestimmte Websites besucht werden. Die vierte als "kritisch" eingestufte Sicherheitslücke wurde im Rahmen des Security Bulletins MS07-035 behoben: Hier gibt es eine Sicherheitsanfälligkeit in einer Win32 API, welche ebenfalls von Angreifern zur Ausführung von Remotecodes genutzt werden kann. Auf diese Weise könnten sich Angreifer im System des Nutzers Benutzerrechte erteilen.