Sicherheitsupdates August 2011
Wie bereits berichtet, hat Microsoft heute 13 Sicherheitsupdates veröffentlicht, von denen zwei als „kritisch“, neun als „wichtig“ und zwei als „moderat“ eingestuft werden. Die Bewertung „moderat“ ist übrigens eine Seltenheit. Insgesamt werden 22 Sicherheitslücken geschlossen. Mehr zu den Bewertungskriterien findet sich hier. Die meisten der Updates erfordern nach ihrer Installation einen Neustart des PCs oder Servers.
Betroffen von den Updates sind alle Versionen des Internet Explorer (MS11-057, kritisch), alle Varianten von Microsoft Windows (kritisch), Microsoft Office (Visio), .NET Framework 3.5 und Visual Studio 2005.
Die schwerwiegendsten der insgesamt sieben Lücken im Internet Explorer erlauben bei erfolgreichem Missbrauch das Ausführen von beliebigem Code aus der Ferne (Remote Code Execution, RCE). Zum Ausnutzen der Lücke genügt es, wenn das potentielle Opfer eine bösartig modifizierte Webseite aufruft (Drive-by-Download). Gelingt die Attacke, erlangt der Angreifer die gleichen Benutzerrechte wie der angemeldete User.
Die zweite als „kritisch“ eingestufte Schwachstelle (MS11-058) betrifft den Windows-DNS-Server. Die schwerwiegendere der beiden behobenen Lücken führt zu RCE, wenn ein Angreifer eine Domäne registriert, einen NAPTR DNS-Ressourceneintrag erstellt und dann dem Ziel-DNS-Server eine speziell gestaltete NAPTR-Abfrage sendet. Windows-Server, auf denen die DNS-Rolle nicht aktiviert ist, sind nicht gefährdet.
Eine weitere DLL-Preloading-Schwachstelle in Windows schließt das Update MS11-059. MS11-066 schließt eine Lücke in den ASP.NET Chart-Steuerelementen und betrifft sowohl das .NET-Framework, als auch SQL. Die Komponente wurde vom SQL-Team entwickelt, wird aber durch .NET ausgeliefert.
Die US-Kollegen beantworten in einem Webcast am 10. August um 20.00 Uhr deutscher Zeit alle wichtigen Fragen zu den August-Updates. Die Registrierung für den Webcast findet sich hier