Patch für Zero-Day-Lücke in Microsofts JET Database Engine unwirksam

Ein am vergangenen Dienstag ausgelieferter Patch für eine Sicherheitslücke in der der Microsoft JET Database Engine hat offenbar nicht die gewünschte Wirkung. Das will der Sicherheitsforscher Mitja Kolsek herausgefunden haben, Mitgründer von 0patch. Ihm zufolge kann ein Angreifer die Schwachstelle weiterhin nutzen, um aus der Ferne Schadcode einzuschleusen und auszuführen und die vollständige Kontrolle über ein betroffenes System zu übernehmen.

„Zu diesem Zeitpunkt werden wir nur darlegen, dass wir herausgefunden haben, dass der offizielle Fix etwas anders ist als unser Micropatch, und zwar unglücklicherweise in der Art, dass die Anfälligkeit nur eingeschränkt statt beseitigt wird“, schreibt Kolsek im Blog seines Unternehmens. „Wir haben Microsoft sofort darüber informiert und werden keine weiteren Details oder einen Proof-of-Concept veröffentlichen, bis sie den Fix korrigiert haben.“

Den Fehler in der JET Database Engine hatte Trend Micros Zero Day Initiative entdeckt und Anfang Mai an Microsoft gemeldet. Redmond bestätigte die Sicherheitslücke nur wenige Tage später. Anfang September teilte das Unternehmen mit, es werde einen Patch aufgrund eines Fehlers nicht wie geplant im September bereitstellen. Daraufhin verpasste Microsoft die von Trend Micro gesetzte Frist von 120 Tagen, was am 20. September schließlich zur Offenlegung der Zero-Day-Lücke durch Trend Micro führte.

0patch, das sogenannte Micropatches für Sicherheitslücken entwickelt, hatte seinen ersten Fix für die Schwachstelle bereits im September veröffentlicht, 18 Tage vor Microsofts offiziellem Fix. Inzwischen steht eine neue Version zur Verfügung, die nun Microsofts unvollständigen Patch korrigieren soll. Beide Unternehmen teilten zudem mit, sie hätten noch keine Hinweise darauf gefunden, dass Hacker die Anfälligkeit aktiv ausnutzten.

Die Microsoft JET Database Engine wurde in den Neunziger Jahren entwickelt und für verschiedene Produkte benutzt, unter anderem Access, Visual Basic, Microsoft Project und IIS. Inzwischen wurde die JET Database Engine durch neuere Techniken ersetzt. Um die Abwärtskompatibilität zu erhalten, ist sie jedoch weiterhin in praktisch allen Windows-Versionen integriert.

Whitepaper

SAP S/4HANA trifft ECM: Was Sie für eine erfolgreiche Migrationsstrategie beachten sollten

Ceyoniq beleutet in diesem Whitepaper anhand von sechs Thesen die wichtigsten Aspekte zum Thema und gibt Tipps für eine erfolgreiche Migrationsstrategie.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Intel übertrifft die Erwartungen im vierten Quartal

Der Umsatz steigt auf 19,5 Milliarden Dollar. Es ist der höchste Quartalsumsatz in der Geschichte…

9 Stunden ago

Android-Apps unter Windows 11: Microsoft kündigt Betatest für Februar an

Microsoft realisiert die Funktion in Zusammenarbeit mit Intel und Amazon. Eigentlich sollte Windows 11 schon…

9 Stunden ago

Gartner: CO2-Emissionen von Hyperscalern beeinflussen Cloud-Einkauf

Nachhaltigkeitsinvestitionen werden zunehmen, da Umwelt-, Sozial- und Governance-Faktoren (ESG) die Berichterstattung der Unternehmen verändern.

19 Stunden ago

US-Handelsministerium: Chipkrise zieht sich bis ins zweite Halbjahr 2022

Ein Grund für die anhaltende Knappheit ist die weiterhin hohe Nachfrage. Ereignisse wie die Corona-Pandemie…

1 Tag ago

Android-Malware stiehlt Geld und löscht Daten

Der Trojaner BRATA nimmt inzwischen auch Nutzer in den USA und Spanien ins Visier. Er…

1 Tag ago

Microsoft: Teams überschreitet Marke von 270 Millionen monatlich aktiven Nutzern

Das ist ein Plus von 20 Millionen Nutzern im Vergleich zum Juli 2022. Auch die…

1 Tag ago