Microsoft Patchday Oktober 2015

IE-Browser und Windows-Shell mit schweren Fehlern

| Redakteur: Stephan Augsten

Auf Benutzer von Windows 7 und Office warten im Oktober mehrere Updates, unter Windows 10 ist es ruhiger.
Auf Benutzer von Windows 7 und Office warten im Oktober mehrere Updates, unter Windows 10 ist es ruhiger. (Bild: Archiv)

Der Microsoft Patchday im Oktober 2015 verläuft verhältnismäßig ruhig. Kritische Updates werden für Internet Explorer, die Skriptmodule JScript und VBScript sowie die Windows-Shell ausgerollt. Insgesamt wurden sechs Security Bulletins veröffentlicht.

Mit dem kumulativen Sicherheitsupdate MS15-106 wurde zum Oktober-Patchday 2015 der Internet Explorer (IE) versorgt. Die schwerwiegendsten Schwachstellen im Microsoft-Browser erlauben es einmal mehr, Code von außen auf anfällige Rechner einzuschleusen und auszuführen (Remote Code Execution, RCE).

Um dies zu erreichen, muss der Angreifer sein Opfer dazu bringen, eine manipulierte Webseite mit dem Internet Explorer zu öffnen. Alle Browser-Versionen, angefangen beim IE 7 bis hin zum IE 11 sind betroffen. Unter Client-Betriebssystemen wie Windows 7 und 10 gilt das Update als kritisch, Server-Betriebssysteme sind einem mittleren Risiko ausgesetzt.

Der mit Windows 10 eingeführte Edge-Browser weist ebenfalls Anfälligkeiten auf, diese scheinen aber anderer Natur zu sein. Zumindest legt die Software im schlimmsten Falle nur Informationen unerwünscht offen, wenn der Benutzer eine darauf ausgelegte Website öffnet. Das Bedrohungsrisiko wurde von Microsoft als „hoch“ eingestuft, das Patch-Paket MS15-107 soll die Probleme beheben.

Weitere kritische Schwachstellen wurden hingegen in JScript und VBScript gefunden. Eine der Sicherheitslücken kompromittiert den Speicher und kann somit ebenfalls zu einer RCE führen. Abhilfe schafft das Security Bulletin MS15-108, das die Skriptmodul-Versionen 5.7 und 5.8 im Internet Explorer 7 und 8 anpasst, sofern sie unter Windows Vista oder Windows Server 2008 und 2008 R2 installiert sind.

Ein Angriff könnte entweder über eine speziell gestaltete Website laufen oder über einen manipulierten Online-Auftritt, der von Benutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptiert oder hostet. Der Angreifer müsste sein Opfer zum Besuch der Webseite verleiten oder ihm ein spezielles ActiveX-Steuerelement unterjubeln.

Die dritte als kritisch eingestufte Sicherheitsaktualisierung MS15-109 soll Probleme mit der Windows-Shell beheben. Wiederum droht eine RCE, sofern der Benutzer ein speziell gestaltetes Symbolleistenobjekt in Windows öffnet oder entsprechend ausgerichtete Inhalte im Internet betrachtet. Die Anfälligkeit findet sich in sämtlichen unterstützten Windows-Versionen.

Bleiben noch zwei Update-Einträge, die Sicherheitsprobleme mit einem hohen Risiko aus der Welt schaffen sollen. Einige davon finden sich in verschiedensten Excel- und Sharepoint-Komponenten von MS Office, das Security Bulletin MS15-110 macht den Schwachstellen den Garaus. Der Patch MS15-111 stopft Sicherheitslücken im Windows Kernel, die unter Umständen eine Erhöhung der Benutzerrechte erhöhen. Microsoft bittet in diesem Zusammenhang alle Kunden, die lokale oder Remote-Lösungen zur Beglaubigung der Berichterstellung nutzen, sich noch die Sicherheitsmeldung CVE-2015-2552 durchzulesen.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43654243 / Schwachstellen-Management)