Patch-Day: 7 neue Updates von Microsoft im Juni

Am heutigen zweiten Dienstag im Monat ist es wieder soweit: Die Entwickler aus Redmond veranstalten ihren allmonatlichen Patch-Day und haben im Monat Juni wie angekündigt sieben Updates veröffentlicht. Um die neuen Sicherheitsupdates zu beziehen, bietet sich beispielsweise die Microsoft Update Website an. Alternativ besteht die Möglichkeit, sich die Update-Dateien direkt aus dem Microsoft Download-Center beziehungsweise den im Artikel verlinkten Security Bulletins zu laden.

Die bequemste Möglichkeit zur Installation der Sicherheit-Patches stellen die von WinFuture.de bereit gestellten Update-Packs dar. Eine aktualisierte Version werden wir in Kürze auf der Update-Pack-Seite anbieten.

Folgende Sicherheits-Updates wurden im Juni von Microsoft veröffentlicht:

MS12-036 - Sicherheitsanfälligkeit in Remotedesktop
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit im Remotedesktopprotokoll. Die Schwachstelle kann Remotecodeausführung ermöglichen, wenn ein Angreifer eine Reihe speziell gestalteter RDP-Pakete an ein betroffenes System sendet.

Standardmäßig ist das Remotedesktopprotokoll (RDP) nicht auf jedem Windows-Betriebssystem aktiviert. Systeme, auf denen RDP nicht aktiviert ist, sind nicht gefährdet.

Security Bulletin: MS12-036
Knowledge Base: KB2685939


MS12-37 - Kumulatives Sicherheitsupdate für Internet Explorer
Dieses Sicherheitsupdate behebt eine öffentlich und zwölf vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Windows. Die schwerwiegendsten Sicherheitslücke können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite mit Internet Explorer anzeigt.

Ein Angreifer, der diese Schwachstelle erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der aktuelle Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Security Bulletin: MS12-037
Knowledge Base: KB2699988


MS12-038 - Sicherheitsanfälligkeit in .NET Framework
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft .NET Framework. Die Lücke kann Remotecodeausführung auf einem Clientsystem ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite in einem Webbrowser anzeigt, der XAML-Browseranwendungen (XBAPs) ausführen kann. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten. Die Sicherheitsanfälligkeit kann auch von Windows .NET-Anwendungen verwendet werden, um Einschränkungen durch die Codezugriffssicherheit (CAS) zu umgehen.

In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Seite einrichten, die diese Schwachstelle ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Lücke ausgenutzt werden kann. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Er muss den Benutzer zum Besuch dieser Website verleiten. Zu diesem Zweck wird der Benutzer meist dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.

Security Bulletin: MS12-038
Knowledge Base: KB2706726


MS12-039 - Sicherheitsanfälligkeiten in Lync
Dieses Sicherheitsupdate behebt eine öffentlich gemeldete und drei vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Lync. Die schwerwiegendsten dieser Schwachstellen können Remotecodeausführung ermöglichen, wenn ein Benutzer freigegebene Inhalte anzeigt, die speziell gestaltete TrueType-Schriftarten enthalten.

Security Bulletin: MS12-039
Knowledge Base: KB2707956


MS12-040 - Sicherheitsanfälligkeit in Microsoft Dynamics AX Enterprise Portal
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Dynamics AX Enterprise Portal. Die Lücke kann eine Erhöhung von Berechtigungen ermöglichen, wenn ein Benutzer auf eine speziell gestaltete URL klickt oder eine speziell gestaltete Website besucht. In einem E-Mail-Angriffsszenario kann ein Angreifer die Schwachstelle ausnutzen, indem er eine E-Mail-Nachricht mit der speziell gestalteten URL an den Benutzer der betroffenen Microsoft Dynamics AX Enterprise Portal-Site sendet und den Benutzer dazu verleitet, auf die speziell gestaltete URL zu klicken.

Benutzer von Internet Explorer 8 und Internet Explorer 9, die in der Internetzone zu einer Microsoft Dynamics AX Enterprise Portal-Site navigieren, sind weniger gegenüber Angriffen gefährdet. Standardmäßig verhindert der XSS-Filter in Internet Explorer 8 und Internet Explorer 9 diesen Angriff in der Internetzone. Der XSS-Filter in Internet Explorer 8 und Internet Explorer 9 jedoch ist in der Intranetzone nicht standardmäßig aktiviert.

Security Bulletin: MS12-040
Knowledge Base: KB2709100


MS12-041 - Sicherheitsanfälligkeiten in Windows-Kernelmodustreibern
Dieses Sicherheitsupdate behebt fünf vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Windows. Die Sicherheitslücken können eine Erhöhung von Berechtigungen ermöglichen, wenn ein Angreifer sich bei einem System anmeldet und eine speziell gestaltete Anwendung ausführt. Ein Angreifer benötigt gültige Anmeldeinformationen und muss sich lokal anmelden können, um eine dieser Lücken auszunutzen.

Security Bulletin: MS12-041
Knowledge Base: KB2709162


MS12-042 - Sicherheitsanfälligkeiten im Windows-Kernel
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete und eine öffentlich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Die Schwachstellen können eine Erhöhung von Berechtigungen ermöglichen, wenn sich ein Angreifer bei einem betroffenen System anmeldet und eine speziell gestaltete Anwendung ausführt, mit der die Sicherheitsanfälligkeit ausgenutzt wird.

Ein Angreifer benötigt gültige Anmeldeinformationen und muss sich lokal anmelden können, um diese Lücke auszunutzen. Die Schwachstelle kann nicht per Remotezugriff oder von anonymen Benutzern ausgenutzt werden.

Security Bulletin: MS12-042
Knowledge Base: KB2711167