Microsoft Patchday Februar 2013 Kritische Updates für Internet Explorer und Exchange

Zum Februar-Patchday 2013 hat Microsoft ein Dutzend Sicherheitsupdates veröffentlicht, von denen fünf als besonders wichtig eingestuft werden. Einer der kritschen Patches schließt gleich 13 Sicherheitslücken im Internet Explorer, ein weiterer behebt Probleme im Exchange Server.

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

TXOne Networks

Jedes der fünf kritischen Security Bulletins addressiert Schwachstellen, die sich im schlimmsten Fall für das Ausführen von Code aus der Ferne ausnutzen lassen (Remote Code Execution, RCE). Wie viele Sicherheitslücken Microsoft seit gestern Abend tatsächlich schließt, ist im Microsoft Security Bulletin Summary nicht ersichtlich.

Das Sicherheitsupdate MS13-009 behebt diverse Sicherheitsprobleme in sämtlichen Browser-Versionen des Internet Explorer (IE). Somit droht also selbst im Falle von Windows 8 mit dem aktuellsten IE10 eine Remote Code Execution. Gleiches gilt für eine weitere RCE-Schwachstelle in Microsofts Implementierung der Vector Markup Language (VML). Diese wird mit demSecurity Bulletin MS13-010 aus der Welt geschafft.

In beiden Fällen bleiben nur die Server-Core-Installationen von Windows Server 2012, Server 2008 R2 mit und ohne Service Pack 1 (SP1) und Server 2008 SP2 unberührt. Für eine erfolgreiche RCE-Attacke muss der Angreifer sein potenzielles Opfer auf eine speziell angepasste Webseite locken. Anschließend kann er sich die gleichen Benutzerrechte aneignen, die der Anwender besitzt.

Der dritte kritische Patch MS13-011 betrifft die Mediendekomprimierung von Windows, anfällig ist die DirectShow-Komponente Quartz.dll. Zu einer RCE kann es kommen, wenn der Benutzer eine speziell gestaltete Mediendatei (z.B. im MPG-Format) öffnet: Alternativ können entsprechende Inhalte in einem Office-Dokument eingebettet sein oder per Streaming empfangen werden.

Die genannte DLL findet sich allerdings nur in älteren Betriebssystem-Versionen. Microsoft nennt Windows XP SP3 und XP Professional x64 SP2 sowie Windows Vista (32 Bit und 64 Bit) mit Service Pack 2. Auch die 32- und 64-Bit Versionen von Windows Server 2003 und 2008 mit SP2 sowie die entsprechenden, Itanium-basierten Server-Betriebssysteme sind betroffen.

Patch für Microsoft Exchange Server

Mit dem Security Bulletin MS13-012 sollen zwei Anfälligkeiten in Microsoft Exchange Server 2007 SP3 sowie 2010 SP2 der Vergangenheit angehören. Die schwerwiegendere Sicherheitslücke wurde in WebReady Document Viewing gemeldet. Um Code von außen ausführen zu können, muss der Angreifer einen Benutzer dazu bringen, die Vorschau einer manipulierten Datei über die Oulook Web App anzuzeigen.

Das verbleibende kritische Sicherheitsupdate MS13-020 behebt eine Schwachstelle in der OLE-Automatisierung (Object Linking and Embedding). In diesem Fall beschränkt sich die Anfälligkeit auf Windows XP SP3. Wiederum muss der Anwender eine speziell manipulierte Datei öffnen, um einem RCE-Angriff zum Opfer zu fallen.

Sieben wichtige Microsoft-Updates

Mehrere der sieben wichtigen Security Bulletins dürften auch für Unternehmen interessant sein. So schließt das Update MS13-013 mehrere Sicherheitslücken in der Microsoft FAST Search Server 2010 für SharePoint, während der Patch MS13-014 eine Schwachstelle im NFS-Server von Windows ausmerzt.

Mit dem Security Bulletin MS13-015 behebt Microsoft ein Problem im .NET Framework. Die Sicherheitsupdates MS13-016 und MS13-17 reparieren den Kernelmodustreiber sowie den Kernel von Windows.

Zu guter Letzt findet sich noch jeweils eine Anfälligkeit in TCP/IP sowie im Client/Server-Runtime-Subsystem (CSRSS) von Windows. Abhilfe schaffen das Sicherheitsupdate MS13-018 und das Security Bulletin MS13-019.

(ID:38048690)