Microsoft Patchday August 2012 Kein Urlaub für Sicherheitslücken

Selbst wenn halb Deutschland im Sommerurlaub ist, gibt es von Microsoft einen Patchday. Dieses Mal beheben neun Sicherheitsupdates — fünf davon kritisch — insgesamt 26 Schwachstellen in Microsoft Windows, Internet Explorer, Exchange Server, SQL Server, Server Software, Developer Tools, und Office.

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

TXOne Networks

Microsoft Deutschland GmbH

Bei den fünf kritischen Updates handelt es sich um Sicherheitslücken in Windows, Internet Explorer, Office, SQL Server, Microsoft Server-Software und den Microsoft-Entwicklertools. Von den fünf kritischen Updates vergibt Microsoft bei drei die dringende Empfehlung sie umgehend zu verteilen.

Das erste der drei Updates mit höchster Priorität ist MS12-060. Dabei handelt es sich um eine Sicherheitslücke in den allgemeinen Windows-Steuerelementen (Windows Common Controls). Bei dieser Schwachstelle ist es durch Besuch einer entsprechend präparierten Webseite möglich, eine Remotecodeausführung zu erreichen und sich so erweiterte Rechte auf dem Zielsystem zu verschaffen.

Um diese Schwachstelle auszunutzen muss der Angreifer den Anwender aber in jedem Fall zum Besuch der präparierten Webseite bewegen oder zum Öffnen einer entsprechenden HTML-Datei im Anhang einer E-Mail. Microsoft hat Hinweise darauf, dass diese Schwachstelle bereits vereinzelt durch Exploits ausgenutzt wird.

Das Sicherheitsupdate MS12-060 wird von Microsoft für die gesamte betroffene Software als Kritisch eingestuft. Dazu gehören alle unterstützten Versionen von Microsoft Office 2003, 2007 und 2010 (außer den x64-Editionen); Microsoft SQL Server 2000, 2005, 2008, 2008 R2, Microsoft Commerce Server 2002, 2007, 2009 und 2009 R2, Microsoft Host Integration Server 2004 Service Pack 1, Microsoft Visual FoxPro 8.0 und 9.0 und Visual Basic 6.0 Runtime.

Kritische Fehler in IE 6-9 und Windows

Das zweite Sicherheitsupdate mit höchster Priorität ist MS12-052. Dabei handelt es sich um ein kumulatives Sicherheitsupdate für den Internet Explorer, das vier kritische Sicherheitslücken behebt. Betroffen von den Schwachstellen sind Internet Explorer 6, 7, 8 und 9 unter verschiedenen Windows-Clients und Servern.

Die Schwachstellen erlauben die Ausführung von beliebigem Code auf dem Zielsystem. Für eine erfolgreiche Remote Code Execution muss der Angreifer allerdings dafür sorgen, dass der IE-Nutzer eine speziell angepasste Webseite besucht. Er kann sich dann die gleichen Rechte sichern, die sein Opfer auf dem Zielsystem besitzt. Derzeit sind zwar noch keine aktiven Exploits für diese Sicherheitslücken bekannt, aber Microsoft empfiehlt trotzdem dringend die Installation dieses Updates.

Eine der vier Schwachstellen, die CVE (Common Vulnerabilities and Exposures) 2012-2523, bezüglich Remotecodeausführung durch Ganzzahlüberlauf in JavaScript ist, auch im Security Bulletin MS12-056 aufgelistet, das eine Schwachstelle in den Skriptmodulen JScript und VBScript von Windows beschreibt.

Sicherheitslücken in Windows Netzwerkkomponenten

Das dritte der besonders kritischen Updates im August ist MS12-054. Dieser Patch beseitigt vier Schwachstellen in Windows Netzwerkkomponenten.

Drei der Schwachstellen befinden sich im Remote Administration Protocol (RAP) und eine in der Druckerwarteschlange. Sendet ein Angreifer eine speziell gestaltete Antwort auf eine RAP- oder Windows-Druckwarteschlangenanforderung kann er eine Remotecodeausführung oder einen DoS (Denial of Service) erreichen.

Als Kritisch wird das Sicherheitsupdate vor allem für Windows XP und Windows Server 2003 eingestuft, für Windows Vista ist die Einstufung noch Wichtig und Windows Server 2008, Windows 7 und Windows 2008 R2 ist die Einstufung durch Microsoft nur noch Mittel.

Stellt man mit den entsprechenden Firewall-Einstellungen sicher, dass keine RAP- oder Printspooler-Anfragen von außerhalb des eigenen Netzwerks nach innen gelangen lässt sich diese Schwachstelle auch ohne Update kurzfristig beherrschen. Mittelfristig ist eine Installation des MS12-054-Patches dennoch dringend angeraten.

Remotedesktop von Windows XP SP3 unter Druck

Die beiden restlichen Schwachstellen, die Microsoft zwar als kritisch einstuft aber denen nicht die höchste Priorität für die Update-Verteilung zugesprochen wird, sind MS12-053 und MS12-058.

Das Security Bulletin MS12-053 behandelt eine Sicherheitslücke im Remotedesktop, die einem Angreifer eine Remotecodeausführung ermöglichen kann. Die Schwachstelle liegt in der Methode, wie das Remotedesktopprotokoll auf ein Objekt im Speicher zugreift, nachdem dieses gelöscht wurde.

Ein Angreifer, der diesen Fehler erfolgreich ausnutzt, kann auf dem Zielsystem beliebigen Code ausführen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Betroffen von dieser Schwachstelle ist lediglich Windows XP Service Pack 3.

Exchange Server durch Schwachstelle in OWA-Vorschau verwundbar

Das fünfte und letzte kritische Update für August ist MS12-058 für Microsoft Exchange 2007 und 2010. In den betroffenen Versionen des Microsoft Exchange Server gibt es eine Sicherheitslücke in der Funktion WebReady Document Viewing.

Die Schwachstellen können Remotecodeausführung als lokales System ermöglichen, wenn ein Benutzer mit Hilfe von Outlook Web Access eine speziell gestaltete Datei als Vorschau in einem Browser anzeigt.

Ein Angreifer, der die Lücke erfolgreich ausnutzt, kann Code auf dem betroffenen Server ausführen, allerdings nur als LocalService. Das LocalService-Konto verfügt auf dem lokalen Computer über Mindestberechtigungen und zeigt im Netzwerk anonyme Anmeldeinformationen an. Trotzdem stuft Microsoft auch dieses Update als Kritisch ein.

Die weiteren vier Sicherheitsupdates des August-Patchday für Microsoft Windows und MS-Office stuft Microsoft nur als Hoch ein, so dass ein Update hier nur dann dringend angezeigt ist, wenn die entsprechenden Funktionen im Unternehmen vermehrt genutzt werden. Ansonsten reicht eine Verteilung der Updates zeitnah mit dem nächsten regulären Update-Zyklus im Unternehmen.

(ID:35026430)