Patch-Day Teil 2: Neun neue Updates von Microsoft

Wie jeden zweiten Dienstag im Monat ist heute wieder Patch-Day bei Microsoft. Angekündigt waren neun sicherheitsrelevante Updates für Windows und Office, die teilweise als kritisch eingestuft wurden. Um die neuen Sicherheits-Updates zu beziehen, empfehlen wir die Nutzung der Microsoft Update Website. Andernfalls besteht die Möglichkeit, sich die Update-Dateien direkt aus dem Microsoft Download-Center bzw. den im Artikel verlinkten Security Bulletins zu laden.

Folgende Sicherheits-Updates wurden heute veröffentlicht:

MS09-036 - Sicherheitsanfälligkeit in ASP.NET
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit bezüglich Denial-of-Service in der Microsoft .NET Framework-Komponente in Microsoft Windows. Diese Sicherheitsanfälligkeit kann nur ausgenutzt werden, wenn Internet Information Services (IIS) 7.0 installiert und ASP.NET so konfiguriert ist, dass auf den betroffenen Versionen von Microsoft Windows der integrierte Modus verwendet wird. Ein Angreifer könnte speziell gestaltete anonyme HTTP-Anforderungen erstellen, die dazu führen können, dass der betroffene Webserver erst wieder reagieren kann, wenn der zugeordnete Anwendungspool neu gestartet wird. Benutzer, die IIS-7.0-Anwendungspools im klassischen Modus ausführen, sind von dieser Sicherheitsanfälligkeit nicht betroffen. Microsoft stuft das Problem als hoch ein.

Security Bulletin: MS09-036
Knowledge Base: KB970957


MS09-037 - Sicherheitsanfälligkeiten in der Microsoft Active Template Library (ATL)
Dieses Sicherheitsupdate behebt mehrere vertraulich gemeldete Sicherheitsanfälligkeiten in der Microsoft Active Template Library (ATL). Die Sicherheitsanfälligkeiten können eine Remotecodeausführung ermöglichen, wenn ein Benutzer speziell gestaltete Komponenten oder Steuerelemente lädt, die auf einer schädlichen Website gehostet werden. Das von Microsoft als kritisch eingestufte Problem betrifft alle Windows-Versionen - nur das neue Windows 7 ist sicher.

Security Bulletin: MS09-037
Knowledge Base: KB973908


MS09-038 - Sicherheitsanfälligkeiten bei der Verarbeitung von Windows Media-Dateien
Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten in der Verarbeitung von Windows Media-Dateien. Jede dieser Sicherheitsanfälligkeiten kann Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete AVI-Datei öffnet. Wenn ein Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Auch dieses Problem betrifft alle aktuellen Windows-Versionen bis auf Windows 7. Microsoft stuft das Problem als kritisch ein.

Security Bulletin: MS09-038
Knowledge Base: KB971557


MS09-039 - Sicherheitsanfälligkeiten in WINS
Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten im Windows Internet Name Service (WINS). Jede der beiden Sicherheitsanfälligkeiten kann Remotecodeausführung ermöglichen, wenn ein Benutzer auf einem betroffenen System, das den WINS-Dienst ausführt, ein speziell gestaltetes WINS-Replikationspaket empfängt. Standardmäßig ist WINS bei keiner Version der betroffenen Betriebssysteme installiert. Dazu gehören Windows 2000 sowie 2003 in der Server-Version. Microsoft stuft das Problem als kritisch ein.

Security Bulletin: MS09-039
Knowledge Base: KB969883


MS09-040 - Sicherheitsanfälligkeit beim Message Queuing
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit im Windows Message Queuing-Dienst (MSMQ). Die Sicherheitsanfälligkeit kann eine Erhöhung von Berechtigungen ermöglichen, wenn ein Benutzer eine speziell gestaltete Anforderung an einen betroffenen MSMQ-Dienst erhalten hat. Standardmäßig wird die Komponente Message Queuing nicht unter betroffenen Betriebssystemversionen installiert und kann nur von einem Benutzer mit Administratorberechtigungen aktiviert werden. Nur Kunden, die die Message Queuing-Komponente manuell installieren, können für dieses Problem anfällig sein. Betroffen sind Windows 2000 mit SP4, Windows XP mit SP2, Windows Vista und der Windows Serwver 2003 mit SP2. Microsoft stuft das Problem als hoch ein.

Security Bulletin: MS09-040
Knowledge Base: KB971032


MS09-041 - Sicherheitsanfälligkeit im Arbeitsstationsdienst
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit im Windows-Arbeitsstationsdienst. Die Sicherheitsanfälligkeit kann eine Erhöhung von Berechtigungen ermöglichen, wenn ein Angreifer eine speziell gestaltete RPC-Nachricht erstellt und an ein betroffenes System sendet. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann beliebigen Code ausführen und vollständige Kontrolle über das betroffene System erlangen. Betroffen sind alle Windows-Versionen bis auf Windows 7 und Windows 2000.

Security Bulletin: MS09-041
Knowledge Base: KB971657


MS09-042 - Sicherheitsanfälligkeit in Telnet
Dieses Sicherheitsupdate behebt eine öffentlich gemeldete Sicherheitsanfälligkeit im Microsoft Telnet-Dienst. Die Sicherheitsanfälligkeit kann einem Angreifer ermöglichen, Anmeldeinformationen zu erhalten und sich damit bei betroffenen Systemen anzumelden. Der Angreifer erlangt dann auf einem System Benutzerrechte, die mit denen des angemeldeten Benutzers identisch sind. Dieses Szenario kann letzten Endes zu Remotecodeausführung auf betroffenen Systemen führen. Betroffen sind auch hier alle Windows-Versionen - nur Windows 7 weist diese Sicherheitslücke nicht auf. Microsoft stuft das Problem als hoch ein.

Security Bulletin: MS09-042
Knowledge Base: KB960859


MS09-043 - Sicherheitsanfälligkeiten in Microsoft Office Web Components
Dieses Sicherheitsupdate behebt mehrere vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Office Web Components, die Remotecodeausführung ermöglichen können, wenn ein Benutzer eine speziell gestaltete Webseite anzeigt. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten. Betroffen sind Office XP, Office 2003 sowie die Web Components für Office 2000, Office XP und Office 2003. Microsoft stuft das Problem als kritisch ein.

Security Bulletin: MS09-043
Knowledge Base: KB957638


MS09-044 - Sicherheitsanfälligkeiten in Remotedesktopverbindung
Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft-Remotedesktopverbindung. Die Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Angreifer einen Benutzer von Terminaldiensten erfolgreich dazu verleitet, eine Verbindung zu einem schädlichen RDP-Server herzustellen, oder wenn ein Benutzer eine speziell gestaltete Website besucht, die diese Sicherheitsanfälligkeit ausnutzt. Auch dieses Problem betrifft alle Windows-Versionen außer Windows 7 und wird von Microsoft als kritisch eingestuft.

Security Bulletin: MS09-044
Knowledge Base: KB970927