Microsoft patcht Zero-Day-Lücken in Edge, IE und Office

Von zehn Bulletins für Oktober sind fünf kritisch. Sie umfassen 49 Schwachstellen. Neben den Browsern und Office sind Windows selbst, Skype for Business und Adobes Flash Player anfällig. Erstmals erfolgt die Verteilung wie angekündigt über Patch-Rollups.

Microsoft hat mit seiner Sicherheitsaktualisierung für Oktober Dutzende Schwachstellen geschlossen. Darunter waren fünf kritische Lücken in den Browsern Edge und Internet Explorer sowie Office, die bereits ausgenutzt wurden, auch wenn sie öffentlich nicht bekannt waren.

Windows 10: Edge (Bild: ZDNet.de)Insgesamt gab das Unternehmen zehn Security Bulletins zu 49 Schwachstellen heraus. Sie betreffen neben Office und den Browsern auch Adobe Flash Player, Skype for Business und Windows selbst.

Die Zero-Day-Lücke des Internet Explorer, CVE-2016-3298, findet sich in zwei der Bulletin genannten Hinweise. Sie würde es Microsoft zufolge einem Angreifer ermöglichen, aus der Ferne zu prüfen, ob bestimmte Dateien auf einem Speichermedium existieren. Dazu müsste das Opfer auf eine präparierte Website gelockt werden.

In Office steckt ein unter dem Kürzel CVE-2016-7193 vermerktes Speicherleck. Sollte der aktuelle Nutzer Administratorrechte haben, könnte der Angreifer die Kontrolle über das System übernehmen. Eine Infektion ist durch einen Dateianhang oder eine Website möglich.

Eine aus der Ferne nutzbare Schwachstelle weist zudem die Windows Graphics Component auf, nämlich CVE-2016-3393. Und bei Edge steckt der Fehler CVE-2016-7189 in der Scripting Engine. Eine präparierte Website könnte ihn nutzen, was einmal mehr unterstreicht, dass man aus unbekannten Quellen zugeschickten Links bestenfalls nach gründlicher Prüfung folgen sollte.

Der Oktober-Patchday bringt erstmals auch die angekündigten monatlichen Patch-Rollups für Windows 7, 8.1, Windows Server 2008 R2, Windows Server 2012 und Server 2012 R2. Microsoft fasst sicherheitsrelevante Fixes zu kumulativen Updates zusammen, die über Windows Update (WU), WSUS, SCCM und den Windows Update Catalog verteilt werden.

Windows 10 Anniversary Update (Bild: ZDNet.de)Unternehmen stehen drei Varianten zur Verfügung. Das Security-only-Update enthält nur die Sicherheitsfixes des jeweiligen Monats. Es wird nur über die Windows Server Update Services (WSUS) veröffentlicht und ist über den Configuration Manager sowie den Windows Update Catalog erhältlich.

Das auch als Monthly Rollup bezeichnete Security Monthly Quality Update vereinigt die Sicherheitsfixes des aktuellen Monats mit denen der Vormonate. Dieses Update ist für Consumer-PCs gedacht und wird über Windows Update verteilt. Es kann aber auch über die WSUS und den Windows Update Catalog bezogen werden.

Das als Preview Rollup bezeichnete Update schließlich setzt sich aus den Patch-Rollups der Vormonate und einer Preview der nicht sicherheitsrelevanten Fixes zusammen, die für den Folgemonat geplant sind. Dieses Update erscheint jedoch nicht wie gewohnt am zweiten Dienstag des Monats, sondern erst in der Woche danach. Es soll zudem im Lauf der Zeit um ältere Fixes erweitert werden und sich zu einem vollständig kumulativen Update entwickeln, das einen neu installierten PC auf den neuesten Stand bringt. Parallel dazu wird es eigene Rollup-Updates für .NET Framework und Internet Explorer geben.

Administratoren können weiterhin entscheiden, ob sie nur sicherheitsrelevante Updates oder auch nicht sicherheitsrelevante Aktualisierungen einspielen. Zudem haben sie die Möglichkeit, nur bestimmte nicht sicherheitsrelevante Patches auszuwählen.

Die Zusammenfassung der monatlichen Sicherheitspatches zu einheitlichen Rollup-Updates hat möglicherweise einen Nachteil: Administratoren sind nicht mehr in der Lage, im Fall von Problemen einzelne Sicherheitsfixes zu entfernen. Stattdessen müsste künftig abgewogen werden, ob die Probleme die Deinstallation aller Sicherheitspatches des Monats rechtfertigen. Microsoft rät in dem Zusammenhang, die monatlichen Patches nur schrittweise auszurollen: beispielsweise zuerst nur innerhalb der IT-Abteilung, dann in speziellen Nutzergruppen und erst danach im gesamten Unternehmen.

[mit Material von Liam Tung, ZDNet.com]

ANZEIGE

Open Telekom Cloud: Ressourcen auf Abruf

Von Capex zu Opex: Mit IT-Kapazitäten aus der Cloud statt von eigenen Servern verwandeln Unternehmen gerade verstärkt starre Investitionskosten in dynamische Ausgaben, die sich dem Geschäftsverlauf anpassen – und werden damit flexibler. Immer beliebter: Infrastructure-as-a-Service (IaaS) aus der Open Telekom Cloud.

Themenseiten: Betriebssystem, Browser, Edge, Internet Explorer, Microsoft

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Florian Kalenda
Autor: Florian Kalenda
Leitender Redakteur ZDNet.de
Florian Kalenda
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Microsoft patcht Zero-Day-Lücken in Edge, IE und Office

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *