Februar-Patchday: Microsoft stopft Löcher in Windows, IE und IIS

Microsoft hat im Rahmen seines monatlichen Patchdays drei Updates für als kritisch eingestufte Sicherheitslücken veröffentlicht. Zusammen mit neun weiteren Patches beseitigen sie insgesamt 22 Anfälligkeiten in Windows, Office, Internet Explorer und den Internet Information Services.

Eine besonders hohe Priorität räumt der Softwarekonzern dem kumulativen Sicherheitsupdate MS11-003 ein, das vier Lücken in Internet Explorer 6, 7 und 8 beseitigt. Darunter ist eine seit Dezember bekannte Schwachstelle bei der Verarbeitung von Cascading Style Sheets, die es Angreifern ermöglicht, beliebigen Code auszuführen.

Ein weiterer als kritisch eingestufter Fehler steckt in der Windows Graphics Rendering Engine (MS11-006) unter den Windows-Versionen XP, Vista, Server 2003 und Server 2008. Windows 7 sowie Windows Server 2008 R2 sind nicht betroffen. Das dritte wichtige Update (MS11-007) korrigiert eine kritische Lücke im OpenType CFF-Treiber (Compact Font Format).

Darüber hinaus behebt Microsoft Schwachstellen in den Internet Information Services 7.0 und 7.5 (MS11-004), in Active Directory (MS11-005) sowie in Microsoft Office Visio 2002, 2003 und 2007 (MS11-008), in JScript und VBScript (MS11-009), im Windows Client/Server-Runtime Subsystem (MS11-010), im Windows-Kernel (MS11-011), in den Windows-Kernelmodustreibern (MS11-012), in Kerberos (MS11-013) sowie im Subsystem für die lokale Sicherheitsautorität (MS11-014).

Zusammen mit den Sicherheitsupdates bietet Microsoft über Windows Update auch einen seit November 2009 im Download Center erhältlichen Fix für Windows Vista und Windows XP an, der die Autorun-Funktion modifiziert. Nach der Installation werden nur noch optische Medien wie CDs und DVDs und keine USB-Sticks mehr unterstützt. Die Änderung hatte Microsoft Anfang 2009 mit dem Release Candidate von Windows 7 vorgestellt.

Eine in der vergangenen Woche bestätigte Scripting-Lücke in Windows bleibt offen. Laut Jim Walter, Manager von McAfees Threat Intelligence Service, sind Umfang und Auswirkungen der MHTML-Schwachstelle im Vergleich zu anderen Zero-Day-Lücken, die Codeausführung ermöglichen, relativ gering. Die Schwachstelle ermögliche das Ausführen beliebiger Skripte. So könnten vertrauliche Informationen weitergegeben werden.