Microsoft Patchday April 2015 HTTP.sys, Internet Explorer und Office werden aktualisiert

Zum April-Patchday 2015 rollt Microsoft kritsche Updates für den Internet Explorer und MS Office aus. Zwei kritische Security Bulletins und sieben wichtige Aktualisierungen stehen zusätzlich auf dem Programm.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Cronon GmbH

Southern Tech GmbH

Insgesamt verteilt Microsoft derzeit elf Sicherheitsaktualisierungen. Die Zahl der Schwachstellen ist natürlich um einiges höher, denn teils handelt es sich um kumulative Update-Pakete. Eines davon soll diverse Anfälligkeiten im Internet Explorer (IE) schließen, die schlimmsten ermöglichen Angreifern das Ausführen von Code aus der Ferne (Remote Code Execution, RCE).

Betroffen sind alle Browser-Versionen von IE 6 bis IE 11, richtig gefährlich sind die RCE-Schwachstellen aber nur auf Client-Rechnern mit Windows 7, Windows 8.1 und 8.1 RT sowie Windows Vista. In Server-Umgebungen ist das Risiko higegen moderat. Der Patch MS15-032 ändert, wie Objekte im Speicher behandelt werden, und prüft die ASLR-Sicherheitsfunktion auf korrekte Implementierung.

Beim Security Bulletin MS15-033 handelt es sich um eine Sammelaktualisierung für Microsoft Office. Auch hier könnte ein Angreifer eine RCE erzwingen, indem er den Anwender dazu bringt, ein manipuliertes Office-Dokument zu öffnen.

Besonders anfällig sind Word 2007 und 2010 sowie der Word Viewer, MS Office 2010 und das Office Compatibility Pack. Gleiches gilt für die Word Automation Services unter SharePoint Server 2010 und den Office Web Apps Server 2010. Ebenfalls gepatcht werden Word 2013, die Mac-Versionen von MS Office, Word sowie Outlook Office 365, die Word Automation Services unter SharePoint Server 2013 sowie der Microsoft Office Web Apps Server 2013.

Eine weitere RCE-Schwachstelle findet sich in HTTP.sys und soll durch das Security Update MS15-034 behoben werden. Um Code auf einem verwundbaren Rechner ausführen zu können, muss der Angreifer eine angepasste HTTP-Anfrage an das System senden. Betroffen sind neben Windows 7, 8 und 8.1 auch Windows Server 2008 R2, Server 2012 und 2012 R2 und deren Server-Core-Installationen.

Der letzte kritisch bewertete Patch mit der Kennung MS15-035 betrifft die Grafikkomponente von Windows. Als besonders gefährdet gelten Windows 7 und Vista sowie die Server-Versionen 2003, 2008 und 2008 R2.

Um die Schwachstelle ausnutzen zu können, benötigt der Angreifer eine speziell bearbeitete Bilddatei im EMF-Format (Enhanced Metafile). Diese muss er auf einer Webseite oder in einem Verzeichnis hinterlegen und anschließend sein Opfer dazu bringen, dorthin zu navigieren.

Wichtiger Patch für Hyper-V

Von den sieben übrigen wichtigen Security Bulletins sollen gleich drei verhindern, dass ein Angreifer die Benutzerrechte auf einem anfälligen System erhöht (Elevation of Privilege). Eine der Anfälligkeiten findet sich im Microsoft SharePoint Server und wird mit dem Patch MS15-036 behoben. Das Update MS15-037 flickt das Aufgabenplanungsmodul, das Security Bulletin MS15-038 wird für Windows selbst ausgerollt.

In den Active Directory Federation Services und im .NET-Framework wurden Sicherheitslücken gefunden, die unter Umständen zur Preisgabe sensibler Informationen führen. Abhilfe schaffen die Aktualisierungen MS15-040 und MS15-041. Derweil unterbindet das Update MS15-039, dass Sicherheitsfunktionen in den XML Core Services umgangen werden können.

Bleibt noch das Security Bulletin MS15-042, das eine Schwachstelle in der Virtualisierungsumgebung Hyper-V schließen soll. Diese erlaubt eine Dienstblockade (Denial of Service), wenn ein authentifizierter Nutzer eine speziell darauf ausgelegte Anwendung in der virtuellen Maschine startet. Andere VM-Instanzen bleiben davon zunächst einmal unberührt, lassen sich aber möglicherweise anschließend nicht mehr über den Virtual Machine Manager verwalten.

(ID:43319818)