Sicherheitsupdates September 2011

Wie bereits angekündigt, hat Microsoft heute insgesamt fünf Sicherheitsupdates veröffentlicht, deren Wichtigkeit jeweils als „hoch“ eingestuft wird und die insgesamt 15 Sicherheitslücken schließen. Betroffen sind alle unterstützten Versionen von Windows (XP SP3, Vista, Windows 7, Server 2003, Server 2008, Server 2008 R2) Microsoft Office (2003, 2007 und 2010) und Microsoft Office Share Point Server 2007 und 2010.

Zwei der Bulletins (MS11-070 und MS11-074) verhindern eine Erhöhung der Benutzerrechte (Escalation of Privileges) im Falle eines Angriffs, die übrigen drei Bulletins (MS11-071, MS11-072 und MS11-073) verhindern das Ausführen beliebigen Codes aus der Ferne (Remote Code Execution, RCE). Normalerweise werden Schwachstellen, die zu RCE führen können, mit der Wichtigkeit „kritisch“ bewertet.

Nachdem die Sicherheitslücken in Windows, Office und Office Server Software (Office SharePoint Server 2007 und 2010, Office Forms Server 2007, Office Web Apps 2010, Microsoft Windows SharePoint Services 2.0 und 3.0 sowie Microsoft SharePoint Foundation 2010 (SP1)) aber alle nur mit erhöhtem Aufwand missbraucht werden können, wurden die Bulletins nur als „hoch“ eingestuft. Bei zwei der Lücken muss eine bösartig modifizierte Datei in das gleiche Netzwerkverzeichnis kopiert werden, in der eine spezielle DLL liegt. Im anderen Fall führt das Öffnen einer präparierten Datei dazu, dass der Angreifer die gleichen Nutzerrechte erlangt wie der momentan angemeldete Anwender. Arbeitet dieser nicht mit Administratorrechten, sind die Möglichkeiten des Angreifers stark eingeschränkt.

Obwohl die Sicherheitsbulletins nicht als „kritisch“ eingestuft wurden, sollten IT-Profis denn noch alsbald an die Installation der Updates gehen. Denn auch der Missbrauch der durch die Bulletins geschlossenen Lücken kann zu einer Gefährdung der Netzwerksicherheit führen.

Die US-Kollegen beantworten in einem Webcast am 14. September um 20.00 Uhr deutscher Zeit alle wichtigen Fragen zu den September-Updates. Die Registrierung für den Webcast findet sich hier.