Patchday: 19 Lücken in Microsoft-Produkten geschlossen

Wie am Freitag vergangener Woche angekündigt, hat Microsoft am Mai-Patchday sieben Security-Bulletins veröffentlicht. Die Updates zu den Sicherheitsmeldungen schließen insgesamt 19 Sicherheitslücken in den Produkten des Herstellers.

Ein Update schließt die als kritisch eingestufte Sicherheitslücke im DNS-Server, dem durch manipulierte RPC-Pakete ein Puffer überlaufen konnte, wodurch Angreifer auf betroffenen Servern Schadsoftware einschleusen und mit SYSTEM-Rechten ausführen konnten. Das kumulative Update zum Security-Bulletin MS07-027 behebt sechs Fehler im Internet Explorer, von denen mehrere ebenfalls die Ausführung von eigenem Schadcode erlaubten.

Der Patch für Excel dichtet drei Schwachstellen in der Tabellenkalkulation ab, durch die manipulierte Dokumente Schadcode einschleusen können. Auch in Word behebt der Softwareriese drei kritische Sicherheitslücken mit einem Patch, die teilweise schon seit Längerem aktiv ausgenutzt werden. Das Security-Bulletin MS07-025 behandelt eine Sicherheitslücke beim Verarbeiten von präparierten Zeichnungsobjekten in Microsofts Office, die der Konzern aufgrund der möglichen Code-Einschleusung ebenfalls als kritisch einstuft.

Auch für den Exchange-Server gibt es Updates. Sie schließen insgesamt vier Lücken: Beim Dekodieren von präparierten E-Mails im MIME-Format konnten Angreifer die komplette Kontrolle über einen Exchange-Server übernehmen, manipulierte iCal-Kalender-Objekte und IMAP-Anfragen den Mailserver lahm legen, und Outlook Web Access war für Cross-Site-Scripting anfällig.

Für Microsofts Cryptographic API Component Object Model (CAPICOM) stellt der Hersteller ebenfalls einen Patch bereit. Die Verarbeitung von Zertifikaten kann zum Ausführen von beliebigem Programmcode führen; der Fehler betrifft Anwendungen, die CAPICOM nutzen, das Platform-SDK sowie die BizTalk-Server aus Redmond.

Schließlich wurde auch das Malicous Software Removal Tool (MSRT) aktualisiert, das Rechner auf Schädlingsbefall untersucht und diesen beseitigen kann. Da die Updates mehrere kritische Sicherheitsprobleme beheben, sollten Anwender sie schnellstmöglich einspielen.

Siehe dazu auch:

• Update: Zusammenfassung der Sicherheitsupdates von Microsoft (deutsch)
• Microsoft Security Bulletin Summary for May 2007, Zusammenfassung der Sicherheitsupdates für den Mai 2007
• Vulnerabilities in Microsoft Excel Could Allow Remote Code Execution (934233), Security-Bulletin MS07-023
• Vulnerabilities in Microsoft Word Could Allow Remote Code Execution (934232), Security-Bulletin MS07-024
• Vulnerability in Microsoft Office Could Allow Remote Code Execution (934873), Security-Bulletin MS07-025
• Vulnerabilities in Microsoft Exchange Could Allow Remote Code Execution (931832), Security-Bulletin MS07-026
• Cumulative Security Update for Internet Explorer (931768), Security-Bulletin MS07-027
• Vulnerability in CAPICOM Could Allow Remote Code Execution (931906), Security-Bulletin MS07-028
• Vulnerability in RPC on Windows DNS Server Could Allow Remote Code Execution (935966), Security-Bulletin MS07-029

(dmk)