Microsoft Patchday November 2013 Updates für Internet Explorer und ActiveX

Zum November-Patchday 2013 hat Microsoft acht Security-Bulletins veröffentlicht, um insgesamt 19 Sicherheitslücken zu schließen. Eines der Update-Pakete behebt Anfälligkeiten im Internet Explorer, ein weiteres stopft ein kritisches Leck in der Browser-Komponente ActiveX, das bereits aktiv übers Internet ausgenutzt wird.

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

TXOne Networks

Drei der acht bereitgestellten Security-Bulletins gelten als kritisch und sollen verhindern, dass Angreifer aus der Ferne Code auf anfälligen Systemen ausführen (Remote Code Execution, RCE). Der Patch MS13-088 behebt insgesamt zehn kritische Schwachstellen im Internet Explorer, die sich mithilfe speziell angepasster Webseiten ausnutzen lassen.

Microsoft nimmt mehrere Änderungen am Browser vor, beispielsweise hinsichtlich der Verarbeitung von Cascading Style Sheets (CSS) und von Objekten im Speicher. Unter den Client-Betriebssystemen gilt das Update als kritisch, im Falle der Server-Versionen ist das Risiko geringer. Außen vor bleiben naturgemäß Server-Core-Installationen, die nicht über einen Browser verfügen.

Die Aktualisierung wird für nahezu alle Versionen des Internet Explorer (IE) bereitgestellt. Nur IE11 für Windows 7 und Windows Server 2008 R2 nicht betroffen, während die IE11-Variante für Windows 8.1 und Windows RT geflickt wird. Die neue Browser-Version für Windows 7 wurde offenbar von Haus aus mit dem Update versorgt und wird ebenfalls über das Windows Update ausgerollt.

Eine weitere fehlerhafte Browser-Komponente ist ActiveX, der Bug findet sich in der ActiveX Control „InformationCardSigninHelper Class“. Auch in diesem Fall könnte eine entsprechend manipulierte Webseite als Ausgangspunkt für einen Angriff dienen. Sämtliche Windows-Versionen mit Ausnahme der Server-Core-Installationen sind betroffen, Abhilfe schafft das Sicherheitsupdate MS13-090.

Das als kritisch eingestufte Security Bulletin MS13-089 radiert eine Schwachstelle im Graphics Device Interface von Microsoft Windows aus. Die entsprechende RCE-Anfälligkeit lässt sich ausnutzen, indem ein Windows-Nutzer dazu gebracht wird, eine manipulierte „Windows Write“-Datei mit dem Wordpad zu öffnen.

Alle unterstützten Windows-Versionen werden aktualisiert, auch die Server-Core-Installationen. Das Update modifiziert, wie das Graphics Device Interface mit Integer-Berechnungen beim Verarbeiten von Bilddateien umgeht.

Fünf Updates mit geringerer Priorität

Zwei als wichtig eingestufte Aktualisierungen beheben Probleme in Microsoft Office. Der Patch MS13-091 nimmt sich unter anderem einer weniger kritischen RCE-Verwundbarkeit in Office an, die sich durch mithilfe maßgeschneiderter WordPerfect-Datei ausnutzen lässt. Das Update MS13-094 schließt eine Sicherheitslücke, die beim Öffnen von E-Mails zur unerwünschten Weitergabe von Informationen (Information Disclosure) führen kann.

Eine weitere Information Disclosure ermöglicht Ancillary Function Driver von Microsoft Windows, Abhilfe schafft das Security Update MS13-093. Die Schwachstelle lässt sich allerdings nur bei einem lokalen Systemzugriff ausnutzen, der Angreifer muss vor Ort eine speziell programmierte Anwendung starten.

Ein Fehler in Hyper-V soll mit dem Patch MS13-092 der Vergangenheit angehören. Mithilfe angepasster Funktionsparameter, die per Hypercall an den Hypervisor gesendet werden, lassen sich die Benutzerrechte innerhalb einer virtuellen Maschine anheben. Unter Umständen ist sogar eine Dienstblockade (Denial of Sevice) auf dem Hyper-V Host möglich.

Die verbleibende Sicherheitsanfälligkeit ermöglicht es, Internet-Dienste über ein manipuliertes X.509-Zertifikat lahmzulegen, also einen Denial of Service zu provozieren. Das Security Bulletin MS13-095 bessert bei der Zertifikatsbehandlung nach.

(ID:42408686)