Patch-Day: Microsoft schließt vier kritische Lücken

Es ist wieder einmal soweit: Der Februar-Patch-Day bringt Updates gegen sieben Schwachstellen, vier davon wurden als "kritisch" eingestuft. Das sind insgesamt zwei mehr als im Vorfeld angekündigt, da Microsoft zwei Updates noch kurzfristig nachgeschoben hat. Ursprünglich hat das Redmonder Unternehmen fünf Bulletins in Aussicht gestellt, aber diese Woche zwei zusätzliche nachgereicht bzw. angekündigt. Dazu kommen noch einige Wartungs-Updates, diese sind auf der Seite zur Microsoft Security Bulletin Summary für Februar 2014 zu finden.

Wie gewohnt können die Updates über das Microsoft Download-Center sowie die automatische Aktualisierungsfunktion von Windows heruntergeladen und installiert werden. Die komfortabelste Möglichkeit stellen die von WinFuture bereit gestellten Update-Packs dar, diese werden wir im Laufe der nächsten Tage in aktualisierten Ausgaben zur Verfügung stellen. Die Februar-Patches in der Übersicht:

MS14-005 - Sicherheitsanfälligkeit im Microsoft XML Core Services kann Offenlegung von Informationen ermöglichen
Dieses Sicherheitsupdate behebt eine öffentlich gemeldete Sicherheitsanfälligkeit in Microsoft XML Core Services, die in Microsoft Windows enthalten sind. Die öffentliche gemeldete Sicherheitsanfälligkeit kann zur Offenlegung von Informationen führen, wenn ein Benutzer eine speziell gestaltete Webseite unter Verwendung von Internet Explorer anzeigt. Ein Angreifer kann Benutzer jedoch nicht zwingen, die speziell gestalteten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website eines Angreifers gelangen, oder eine Dateianlage zu öffnen, die per E-Mail gesendet wurde.

Security Bulletin: MS14-005
Knowledge Base: KB2916036


MS14-006 - Sicherheitsanfälligkeit in IPv6 kann zu einem Denial-of-Service-Angriff führen
Dieses Sicherheitsupdate behebt eine öffentlich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit kann Denial-of-Service ermöglichen, wenn ein Angreifer eine große Anzahl speziell gestalteter IPv6-Pakete an ein betroffenes System sendet. Um diese Sicherheitsanfälligkeit auszunutzen, muss das System eines Angreifers zu demselben Subnetz gehören wie das Zielsystem.

Security Bulletin: MS14-006
Knowledge Base: KB2904659


MS14-007 - Sicherheitsanfälligkeit in Direct2D kann Remotecodeausführung ermöglichen
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Wenn ein Benutzer eine speziell gestaltete Webseite mit Internet Explorer anzeigt, kann diese Sicherheitsanfälligkeit Remotecodeausführung ermöglichen. Ein Angreifer kann Benutzer jedoch nicht zwingen, die speziell gestalteten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website eines Angreifers gelangen, oder eine Dateianlage zu öffnen, die per E-Mail gesendet wurde.

Security Bulletin: MS14-007
Knowledge Base: KB2912390


MS14-008 - Sicherheitsanfälligkeit in Microsoft Forefront Protection für Exchange kann Remotecodeausführung ermöglichen
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Forefront. Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn eine speziell gestaltete E-Mail gescannt wird.

Security Bulletin: MS14-008
Knowledge Base: KB2927022


MS14-009 - Sicherheitsanfälligkeiten in .NET Framework können Erhöhung von Berechtigungen ermöglichen
Dieses Sicherheitsupdate behebt zwei öffentlich gemeldete Sicherheitsanfälligkeiten und eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft .NET Framework. Die schwerwiegendste Sicherheitsanfälligkeit kann eine Erhöhung von Berechtigungen ermöglichen, wenn ein Benutzer eine speziell gestaltete Website oder eine Website mit speziell gestalteten Webinhalten besucht. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Er muss den Benutzer zum Besuch der schädlichen Webseite verleiten. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.

Security Bulletin: MS14-009
Knowledge Base: KB2916607


MS14-010 - Kumulatives Sicherheitsupdate für Internet Explorer
Dieses Sicherheitsupdate behebt eine öffentlich und dreiundzwanzig vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Windows. Die schwerwiegendsten Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite mit Internet Explorer anzeigt. Ein Angreifer, der die schwerwiegendste dieser Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte erlangen wie der aktuelle Benutzer. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Security Bulletin: MS14-010
Knowledge Base: KB2909921


MS14-011 - Sicherheitsanfälligkeit im Skriptmodul VBScript kann Remotecodeausführung ermöglichen
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit im Skriptmodul VBScript in Microsoft Windows. Wenn ein Benutzer eine speziell gestaltete Website besucht, kann diese Sicherheitsanfälligkeit Remotecodeausführung ermöglichen. Ein Angreifer kann Benutzer nicht zum Besuch einer bestimmten Website zwingen. Er muss den Benutzer dazu verleiten, aktiv zu werden. Zu diesem Zweck wird der Benutzer meist dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.

Security Bulletin: MS14-011
Knowledge Base: KB2928390