Dezember-Patchday: Microsoft stopft erneut kritische Löcher in IE, Edge und Windows

Microsoft hat am letzten Patchday des Jahres 2016 zwölf Sicherheitsupdates veröffentlicht. Sie schließen erneut als kritisch eingestufte Lücken in Windows sowie in den Browsern Internet Explorer und Edge. Ein Update beseitigt zudem schwerwiegende Anfälligkeiten in Microsoft Office, die ebenfalls das Einschleusen und Ausführen von Schadcode aus der Ferne ermöglichen.

Im Internet Explorer stecken acht, in Edge weitere elf Schwachstellen. Betroffen sind die IE-Versionen 9, 10 und 11 für Windows Vista, Server 2008, Server 2012, 7, 8.1, Server 2012 R2, 10 und Server 2016 sowie Edge für Windows 10 und Server 2016. Ein Angreifer muss ein Opfer lediglich dazu verleiten, eine spezielle präparierte Website in einem der beiden Microsoft-Browser zu öffnen, um die Kontrolle über ein Windows-System zu erlangen. Anschließend kann er unter Umständen Programme installieren, Daten anzeigen, ändern oder löschen oder neue Administratorkonten erstellen.

Sechs der insgesamt 19 Browserlücken wurden laut Microsoft öffentlich gemeldet. Angriffe auf die Sicherheitslücken seien bisher jedoch nicht bekannt.

Drei weitere kritische Bugs werden durch das Update MS16-146 für die Microsoft-Grafikkomponenten entfernt. Hier könnte ein Exploit über eine speziell entworfene Website oder ein speziell gestaltetes Dokument eingeschleust werden. Davon betroffen sind alle unterstützten Windows-Versionen von Vista bis 10 inklusive der Server Core-Installationsoption. Eine der Anfälligkeiten wird laut Microsoft bereits aktiv ausgenutzt.

Eine Remotecodeausführung erlaubt auch ein Speicherfehler in Windows Uniscribe. Auch dieses Update steht für alle Windows-Versionen zur Verfügung – unter allen Versionen ist es auch als kritisch eingestuft. Diese Schwachstelle ist dem Bulletin MS16-147 zufolge bisher nicht öffentlich bekannt.

Das Update MS16-148 für die Office-Anwendungen beseitigt 16 sicherheitsrelevante Fehler, die Microsoft bei einigen Versionen ebenfalls als kritisch bewertet. Es richtet sich an Office 2007, 2010, 2013 und 2013 RT, 2016, Excel- und Word-Viewer, das Office Compatibility Pack sowie Office für Mac 2011 und Office 2016 für Mac. Darüber hinaus sind auch die Excel-Services unter SharePoint Server 2007 und 2010 sowie die Office Web Apps 2010 anfällig.

Ein hohes Risiko geht von weiteren Sicherheitslücken in den Windows-Komponenten Verschlüsselungstreiber, Kernel, Kernelmodustreiber, Protokolldateisystem sowie in .NET Framework 4.6.2 aus. Sie können zur Offenlegung von Informationen führen oder eine nicht autorisierte Erweiterung von Benutzerrechten ermöglichen. Darüber hinaus verteilt Microsoft eine neue Version des Flash-Plug-ins von Adobe für seine Browser IE 11 und Edge.

Das Jahr 2016 beendet Microsoft mit insgesamt 155 Patches für seine Produkte. 2015 waren es 135, 2014 85 und 2013 106 Bulletins. Zu beachten ist, dass Microsoft seit diesem Jahr eigene Bulletins für Sicherheitslücken im Flash-Plug-in veröffentlicht. Im Gegensatz zu 2015 gab es 2016 jedoch keine außerplanmäßigen Updates für Windows, IE, Edge oder Office.

Tipp: Was wissen sie über Microsoft? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.