Microsoft hat mehrere kritische Sicherheitslücken in seinen Produkten darunter Office und Windows geschlossen. Eine dieser Schwachstellen wurde bereits von Angreifern ausgenutzt.
Davon gelten 16 als "kritisch", 39 als "wichtig" und eine als "moderat".
Obacht Office-Nutzer
Derzeit sollen diverse Hacker-Gruppen eine Schwachstelle (CVE-2018-0797) in Office aktiv attackieren. Dabei sollen sie aus der Ferne ohne Authentifizierung Schadcode mit den Rechten des Opfers ausführen können. So könnten Angreifer Systeme übernehmen. Unverständlicherweise stuft Microsoft den Office-Patch nur als "wichtig" ein.
Ansatzpunkt ist ein fehlerhafter Umgang seitens Office mit RTF-Dateien. Angreifer müssten präparierte Dokumente dieser Art lediglich auf einer Webseite hinterlegen und ein Opfer zum Besuch der Seite bringen. Auch eine Verbreitung via E-Mail ist vorstellbar. Darüber hinaus klaffen noch neun weitere Schwachstellen in Office die ähnlich wie zu Remote Code Execution oder Informationslecks (Memory Disclosure) führen können.
Kritische Lücken finden sich der Scripting Engine. Davon sind die Webbrowser Edge & Internet Explorer bedroht. Hier könnten Angreifer das Ausführen von Schadcode durch den alleinigen Besuch einer präparierten Webseite einleiten. Das kritische Flash-Update für Edge und Internet Explorer 11 bekommen Nutzer von Windows 8․1 und 10 automatisch serviert.
Meltdown & Spectre
Weitere Sicherheitspatches gegen die CPU-Lücken Meltdown & Spectre hat Microsoft am Patchday nicht im Gepäck. Diese hat Microsoft außer der Reihe Anfang Januar veröffentlicht. Jüngst äußerte sich der Konzern dazu, ebenso wie die Patches funktionieren und bezog Stellung zu Leistungseinbußen.
Microsoft stellt Informationen über die gepatchten Sicherheitslücken im Security Update Guide bereit. Allerdings ist die Auflistung alles andere als übersichtlich. Eine viel besser aufbereitete Liste findet sich zum Beispiel im Patchday-Blog-Artikel von Ciscos Talos-Team.
(des)
Kommentare