Microsoft schließt kritische Sicherheitslücken
Microsoft hat beim monatlichen Update sechs Security Bulletins veröffentlicht. Elf, der überwiegend als kritisch eingestufte Schwachstellen sollen damit geschlossen werden. Allein fünf Lücken werden durch ein kumulatives Sicherheits-Update für den Internet Explorer beseitigt. Außerdem soll eine der Windows-Schwachstellen bereits für gezielte Angriffe ausgenutzt worden sein.
Das wichtigste der Sicherheits-Updates dieses Monats betrifft eine Windows-Lücke, die eine breite Palette in Unternehmen eingesetzter Anwendungen und Server-Produkte betrifft. Das Security Bulletin MS12-027 behandelt eine Schwachstelle in allgemeinen Windows-Steuerelementen (mscomctl.ocx), die es einem Angreifer ermöglicht Code einzuschleusen und auszuführen. Es soll laut Microsoft bereits gezielte Angriffe über diese Schwachstelle geben.
Anfällig sind alle 32-Bit-Versionen der Office-Pakete sowie SQL-Server (2000 bis 2008 R2), BizTalk Server 2002, Commerce Server (2002 bis 2009 R2), Visual FoxPro 8.0/9.0 und die Laufzeitdateien für Visual Basic 6.0. Auch die Ende Februar veröffentlichte Demo-Version des neuen Windows 8 erhält ein Update, das diese Lücke schließt.
Ebenfalls mit höchster Priorität sollte das neue kumulative Sicherheits-Update für den Internet Explorer installiert werden. Es behebt fünf Schwachstellen, von denen Microsoft zwei als kritisch einstuft. Betroffen sind alle IE-Versionen in allen Windows-Fassungen, Desktop wie Server. Die beiden beim Hacker-Wettbewerb Pwn2own ausgenutzten IE-Lücken sind nicht darunter. Sie sollen laut Microsofts Sicherheitsberater Michael Kranawetter mit einem späteren Update geschlossen werden.
Je eine kritische Windows-Lücke hat Microsoft außerdem in der Code-Signaturprüfung (WinVerifyTrust) sowie im .NET Framework behoben. Als hohes Risiko stuft Microsoft eine Schwachstelle in den Routinen zum Öffnen von WPS-Dateien in Office 2007 und Works 9 ein. Zwei Lücken hat Microsoft in seiner Remote-Access-Software Forefront UAG (Unified Access Gateway) geschlossen.
Das "Tool zum Entfernen bösartiger Software" ist in der neuen Version 4.7 erhältlich, die auch per Windows Update verteilt wird. Sie nimmt nun auch die Schädlingsfamilien Win32/Claretore, Win32/Bocinex und Win32/Gamarue ins Visier.
Der so genannte Mainstream-Support für Windows Vista ist nunmehr, fünf Jahre nach Markteinführung, beendet. In der ebenfalls fünf Jahre dauernden Phase des "Extended Support" (für alle Vista-Fassungen) gibt es nur noch Sicherheits-Updates kostenlos, die das Service Pack 2 voraussetzen. Andere Produktverbesserungen sind nur noch für zahlungswillige Kunden erhältlich. Für Windows XP hat Microsoft die letzten zwei Jahre der Unterstützung mit Sicherheits-Updates eingeläutet.
