Patch Day voraus
Microsoft will TIFF-Lücke in Vista und Office stopfen
Microsoft hat 11 Security Bulletins für den letzten Update-Dienstag des Jahres angekündigt. Darunter sind fünf, die als kritisch eingestufte Sicherheitslücken behandeln sollen.
Am 10. Dezember ist wieder Patch Day bei Microsoft - der letzte turnusmäßige Update-Dienstag in diesem Jahr. Fünf der 11 angekündigten Security Bulletins sollen sich mit Sicherheitslücken befassen, die Microsoft als kritisch einstuft. Für weitere sechs Bulletins weist Microsoft die Risikostufe "hoch" aus, die zweithöchste.
Kritische Lücken will Microsoft in Windows, im Internet Explorer, in Office und im Exchange Server schließen. Der Internet Explorer 6 bis 11 für alle noch unterstützten Windows-Versionen erhält ein neues kumulatives Sicherheits-Update. Zwei weitere Bulletins mit der höchsten Risikobewertung betreffen ebenfalls Schwachstellen in allen Windows-Versionen. Das Exchange-Bulletin gilt Exchange Server 2007, 2010 und 2013.
Auf die Updates zum vorläufig als "Bulletin 1" bezeichneten Sicherheitsbericht warten viele bereits seit Anfang November. Seitdem ist eine Sicherheitslücke in der Grafikschnittstelle GDI+ (CVE-2013-3906) bekannt, die bereits für Angriffe ausgenutzt wird. Die Angriffe erfolgen mit speziell präparierten TIFF-Dateien. Die anfällige Komponente steckt in Windows Vista und Server 2008, in Office 2003 bis 2007 sowie im Kommunikationsprogramm Lync.
Die kürzlich bekannt gewordene Schwachstelle in Windows XP und Server 2003 bleibt uns hingegen noch ein wenig erhalten, obwohl sie ebenfalls bereits für Malware-Angriffe genutzt wird. Ein Sicherheits-Update gegen diese Lücke in der Telefonie-Schnittstelle ist jedoch laut Microsoft in Arbeit.
Unter den weiteren Bulletins, deren Risikobewertung Microsoft mit hoch angibt, sticht noch das "Bulletin 6" hervor. Es betrifft Sharepoint Server 2010 und 2013 sowie Office Web Apps 2013. Es soll darin um mindestens eine Schwachstelle gehen, deren Ausnutzung es einem Angreifer ermöglicht, Code einzuschleusen und auszuführen.
Die Security Bulletins werden am Dienstag gegen 19 Uhr MEZ veröffentlicht. Auch beim letzten Patch Day des Jahres wird Microsoft wieder das Windows-Tool zum Entfernen bösartiger Software aktualisieren.
