Patch-Regen bei Microsoft
Statt den am vergangenen Freitag angekündigten zwölf Updates gibt es nur elf. Den Patch für ein Leck im Windows Media Player hat sich Microsoft ohne Angabe von Gründen gespart; er wird wohl später nachgereicht. Aber auch so kommt reichlich Arbeit auf Admins zu, denn sechs Updates werden als kritisch eingestuft und neben Windows ist auch die Office-Suite des Software-Konzerns betroffen.
Im Image Color Management (ICM) von Windows lässt sich durch manipulierte Bilddateien ein Heap Overflow auslösen und Code einschleusen. Betroffen sind hier die älteren Windows-Versionen ab Windows 2000, nicht jedoch Vista und Windows Server 2008.
Die weiteren kritischen Lecks: in Excel sind gleich vier Schwachstellen zu finden, die Tabellenkalkulation schlampt unter anderem bei der Überprüfung von Indexwerten und Datensätzen. Und in Powerpoint lauern drei Speicherüberläufe, über die ein Angreifer Code ausführen kann. Auch das schwerwiegende Sicherheitsleck im Snapshow Viewer von Access wird geschlossen.
Darüber hinaus hat Office Probleme mit Bildern. Immerhin fünf Lecks sind in den Microsoft Office Filters zu finden, über die mithilfe von EPS-, PICT-, BMP- und WPG-Dateien Code eingeschleust werden kann.
Dem Internet Explorer spendiert Microsoft einen Sammelpatch, mit dem fünf Lecks geschlossen werden. Er überprüft Daten für die Druckvorschau nicht korrekt und hat mit verschiedenen Fehlern in der Speicherverwaltung zu kämpfen.
Die übrigen fünf Updates tragen die Sicherheitseinstufung hoch. Allerdings ist hier auch eines für ein Leck in Word zu finden, über das Code eingeschleust werden kann, was normalerweise die Einstufung kritisch zur Folge hat.
Im Windows Messenger kann ein Angreifer wegen eines fehlerhaften ActiveX-Controls den Status ändern, auf Kontaktinformationen zugreifen, Chats starten und sogar die Anmeldekennung auslesen, um sich mit den fremden Daten anzumelden. Ein Fehler in Outlook Express und Windows Mail sorgt dafür, dass auf lokal gespeicherte Dateien zugegriffen werden kann.
Zu guter letzt gibt es noch zwei Fehler im Event-Handling unter Windows und einen in der IPSec-Richtlinie. (Daniel Dubsky)