Microsoft Patchday Januar 2016 Office und Kernelmodus-Treiber mit gefährlichen Lücken

Microsoft hat zum ersten Patchday im Januar 2016 neun Security Bulletins veröffentlicht, zehn sollten es scheinbar ursprünglich sein. Hinter sechs Einträgen in der Update-Datenbank stecken kritische Aktualisierungen, beispielsweise für die hauseigenen Browser und Microsoft Office.

Anbieter zum Thema

SonicWall Germany

Arvato Systems

Keeper Security EMEA Ltd.

Wie gewohnt widmet Microsoft dem Internet Explorer (IE) und dem mit Windows 10 eingeführten Edge-Browser jeweils ein eigenes Security Bulletin. Beide Internet-Betrachter lassen sich von einem entfernten Angreifer ausnutzen, um Code auf angreifbaren Systemen auszuführen (Remote Code Execution, RCE). Hierzu muss das Opfer eine manipulierte oder angepasste Webseite besuchen, indem es beispielsweise einen per Mail oder Chat übermittelten Link klickt.

Microsoft Edge hat ein generelles Problem bei der Verarbeitung von im Speicher befindlichen Objekten, das Update MS16-002 schafft Abhilfe. Der Internet Explorer hat derweil nur Probleme mit Speicherobjekten auf Basis von VBScript. Das Security Bulletin MS16-001 behebt diesen Fehler und arbeitet außerdem bei den Cross-Domain-Richtlinien nach.

Das Update-Paket wird für alle Browser-Versionen bereitgestellt, damit endet dann der Support für einige IE-Varianten. Updates erhalten die Nutzer künftig nur für die aktuellsten Browser, abhängig vom jeweils eingesetzten Betriebssystem: Nutzer von Windows Vista sollten auf den IE 9 aktualisieren, unter Windows 7 und 8.1 ist ein Update auf den IE 11 vonnöten.

Weitere RCE-Schwachstellen finden sich auch in der Scripting-Engine für VBScript und JScript. Nur die Versionen 5.7 und 5.8 unter Windows Vista, Windows Server 2008 und Server-Core-Installationen von Windows Server 2008 R2 sind betroffen. Auch in diesem Fall werden Objekte im Speicher falsch verarbeitet, der Patch MS16-003 soll das beheben.

Windows- und Mac-Versionen von Office bedroht

Office-Nutzer können ebenfalls Opfer einer Speicherverletzung werden, wiederum droht im schlimmsten Fall eine Remote-Code-Ausführung. Neben Office 2007, 2010, 2013 und 2016 sind auch die 2011er und 2016er Office-Komponenten für Mac-Rechner von der kritischen Schwachstelle gefährdet. Neben den allgemeinen Office Suites hat insbesondere Excel mit schwerwiegenden Speicherproblemen zu kämpfen.

Die Aktualisierung MS16-004 soll aber nicht nur diese RCE-Schwachstellen beheben, sondern auch das Umgehen der Sicherheitsfunktion ASLR (Adress Space Layout Randomization) umgehen. Ein entsprechender Security Bypass soll alle genannten Office-Komponenten sowie Sharepoint Server und Foundation 2013 sowie die VisualBasic 6.0 Runtime betreffen.

Das Security Bulletin MS16-005 wird für alle noch unterstützen Client- und Server-Betriebssysteme von Microsoft ausgerollt. Es behebt Speicher-Anfälligkeiten im Kernelmodus-Treiber, die sich beim Besuch kompromittierter Internet-Seiten ausnutzen lassen. Als kritisch gilt das Update nur im Falle von Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2.

Der letzte Patch, der im Januar 2016 ein ernstzunehmendes RCE-Einfallstor schließt, verbirgt sich hinter der Kennung MS16-006. In diesem Fall werden das Multimedia-Plug-in Silverlight 5 und die entsprechende Laufzeitumgebung aktualisiert. Ohne das Update liefert das Browser-Plug-in falsche Ergebnisse bei der Validierung von Decoder-Ergebnissen.

Drei weitere Aktualisierungen haben von Microsoft nur das Rating „Wichtig“ erhalten. Zum einen gilt das für den Patch MS16-007, der weniger ernste RCE-Anfälligkeiten in Windows und DirectShow beseitigt. Das Update MS16-008 verhindert, dass ein Anwender seine Berechtigungen mithilfe einer angepassten Anwendung anhebt (Privilege Escalation). Das Microsoft Security Bulletin MS16-010 wird für Microsoft Exchange Server bereitgestellt. Fehlerhafte Anfragen im Rahmen von OWA-Sitzungen können nämlich Injektions- und Spoofing-Attacken begünstigen.

(ID:43807739)