Patch Dienstag Behebt ernsthafte Zero-Day-Löcher, lässt ein anderes Open

Microsoft hat heute eine schwerwiegende Schwachstellen-Schwachstelle in einem Video-ActiveX-Steuerelement behoben, zusammen mit anderen kritischen Fehlern, die QuickTime-Dateien und Schriftarten betreffen. Aber ein kritisches Zero-Day-Loch in einem anderen ActiveX-Steuerelement bleibt ungepatcht.

Das wichtigste Update im heutigen Patch Tuesday behebt ein Loch, das vor acht Tagen im Microsoft Video ActiveX-Steuerelement entdeckt wurde. Der Fehler, der aktiv angegriffen wurde, wird für Windows XP als kritisch und für Windows 2003 als mäßig eingestuft. Der Patch MS09-032 deaktiviert die (für legitime Zwecke) nicht verwendete Kontrolle, um potenzielle Angriffe zu verhindern, behebt jedoch nicht den zugrunde liegenden Fehler.

Hinweis: Ab 14 Uhr hat Microsoft die einzelnen Bulletin-Links noch nicht veröffentlicht (für MS09-032, etc.). Bis dahin werden diese Links nur zur TechNet-Homepage führen.

[Weiterführende Literatur: So entfernen Sie Malware von Ihrem Windows-PC]

Ein zweiter Fix schließt ein weiteres Unterangriffsloch, bei dem Microsoft DirectShow QuickTime verarbeitet Inhalt. Der MS09-028-Patch schließt drei im Mai offenbarte Sicherheitsfehler, die beim Öffnen oder sogar nur als Vorschau einer vergifteten QuickTime-Datei ausgelöst werden können. Betroffen sind Windows XP, 2000 und Server 2003, unabhängig davon, ob Apple QuickTime auf dem anfälligen PC installiert ist oder nicht. Weitere Informationen finden Sie im Bulletin MS09-028.

Zwei kritische Sicherheitslücken in der Microsoft Embedded OpenType-Font-Engine werden mit dem dritten Patch MS09-029 geschlossen. Während keine Schwachstelle als unter aktiver Angriff aufgeführt ist, erhalten beide eine gefährliche "Consistent exploit code likely" Bewertung in Microsofts Exploitability Index. Windows 2000, XP, Server 2003, Vista und Server 2008 sind alle gefährdet.

Drei weitere Patches schließen Löcher, die als wichtig und nicht kritisch eingestuft werden. Ein Patch für Office 2007 schließt ein Loch in Microsoft Office Publisher, das beim Öffnen einer schädlichen Publisher-Datei angegriffen werden könnte (siehe MS09-030). Zwei weitere für Virtual PC und Virtual Server (MS09-033), und für Microsoft Internet Security und Acceleration Server 2006 (MS09-031), Schwachstellen bei der Eskalation von Sicherheitslizenzen sind wahrscheinlich die größte Gefahr für IT-Typen.

Diese Korrekturen wird über automatische Updates eintreffen, und Sie können diese auch manuell abrufen, indem Sie Microsoft Update ausführen. Aber denken Sie daran, dass ein kritischer Fehler, der erst gestern gemeldet wurde, nicht behoben ist. Der Fehler mit einem Office-installierten ActiveX-Steuerelement ermöglicht Drive-by-Download-Angriffe, kann jedoch durch Ausführen eines schnellen Fix-it-Downloads gemildert werden.