Microsoft schließt kritische Sicherheitslücken in Word
Microsoft hat heute vier Sicherheits-Patches für sechs Schwachstellen veröffentlicht. Vier der bestehenden Sicherheitslücken bewertet der Software-Hersteller als kritisch, weil Angreifer über sie die Kontrolle über fremde Rechner ergreifen können. Windows- und Office-Nutzer sollten daher die Sicherheits-Updates so schnell wie möglich entweder über den automatischen Update-Service oder manuell in ihr System einspielen.
Das in Security Bulletin MS08-026 beschriebene Sicherheits-Update behebt mehrere vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Word, die Remotecodeausführung ermöglichen können, wenn ein Benutzer eine speziell gestaltete Word-Datei öffnet. Dabei kann es sich um eine speziell gestaltete RTF-Datei mit fehlerhaften Zeichenfolgen in Word, um eine Vorschau einer speziell gestalteten RTF-Datei mit fehlerhaften Zeichenfolgen in Rich-Text-E-Mail-Nachrichten oder um eine Word-Datei, die einen fehlerhaften CSS-Wert enthält, handeln.
Nutzt ein Angreifer diese Sicherheitsanfälligkeiten erfolgreich aus, kann er vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Das Sicherheitsupdate beurteilt Microsoft für unterstützte Versionen von Word 2000 und Outlook 2007 als kritisch.
Schwachstellen im Publisher und in der Jet-Datenbank
Eine ebenfalls als kritisch bewertete Schwachstelle im Microsoft Publisher und vom Typ Pufferüberlauf in der Jet-Datenbank in Windows beheben das Sicherheits-Update aus dem Security Bulletin MS08-027 sowie der Patch aus dem Security Bulletin MS08-028. Ein Angreifer kann zum Beispiel die Sicherheitsanfälligkeit im Publisher ausnutzen, indem er eine speziell gestaltete Publisher-Datei als E-Mail-Anlage sendet oder auf einer schädlichen oder manipulierten Website hostet. Ein Angreifer kann den Benutzer jedoch nicht zum Besuch solcher manipulierten Websites zwingen. Er müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, indem er beispielsweise den Benutzer dazu auffordert, in einer E-Mail oder einer Instant-Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
Zwei vertraulich gemeldete Sicherheitsanfälligkeiten im Microsoft-Modul zum Schutz vor schädlicher Software behebt der vierte Patch, der im Security Bulletin MS08-029 behandelt wird. Ein Angreifer kann jede der Sicherheitsanfälligkeiten ausnutzen, indem er eine speziell gestaltete Datei erstellt, die Denial-of-Service ermöglicht, wenn sie von dem Zielcomputersystem empfangen und vom Microsoft-Modul zum Schutz vor schädlicher Software überprüft wird. Ein Angreifer, der eine dieser Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann bewirken, dass das Microsoft-Modul zum Schutz vor schädlicher Software nicht mehr reagiert und dann automatisch neu startet.