Großes Microsoft Patchday-Update für September 2016

index

Am September-Patchday 2016 hat Microsoft 14 Sicherheitsbulletins für eine Vielzahl von Komponenten veröffentlicht: Desktop-Betriebssysteme, Server, Browser, Exchange Server, Silverlight, SMBv1 und noch einige weitere. Ein großes Update-Paket also, das sowohl die Desktop- als auch die Server-Administratoren auf Trab halten wird. Sieben Updates sind als „kritisch“ bewertet, die restlichen haben die Einstufung „hoch“. Auch eine 0-Day-Lücke wird geschlossen, die bereits zuvor öffentlich bekannt gegeben worden war: die Schwachstelle CVE-2016-3352, für die das Bulletin MS16-110 einen Patch bereitstellt.

Desktop

Auf der Desktop-Seite haben die Browser und Microsoft Office höchste Priorität. Den Ersteren gilt das kumulative Sicherheitsupdate für Internet Explorer (MS16-104), das IE 9 bis 11 betrifft, sowie das kumulative Sicherheitsupdate für Microsoft Edge (MS16-105), das nur Windows 10-Plattformen betrifft. Angreifer könnten Benutzer dazu bringen, in den betroffenen Browsern auf manipulierte Links zu klicken, und, sofern die Sicherheitslücken nicht geschlossen werden, den Rechner des Opfers komplett übernehmen. Das Sicherheitsupdate für Microsoft Office (MS16-107) fällt ebenfalls in diese Kategorie. Es behebt Anfälligkeiten in der Klick-to-Run-Komponente und der Behandlung von Office-Objekten im Speicher, die einen Angreifer in die Lage versetzen können, den Computer des Opfers vollständig unter seine Kontrolle zu bringen. MS16-106 betrifft Windows Vista, Windows 7, 8.1 und 10 und stopft Sicherheitslücken, die Remotecode-Ausführung ermöglichen können, wenn ein Nutzer entweder eine speziell gestaltete Website besucht oder ein speziell gestaltetes Dokument öffnet.
An nächster Stelle folgt das Bulletin für Silverlight (MS16-109). Die darin behandelte Schwachstelle könnte Remotecodeausführung ermöglichen, falls ein Benutzer eine kompromittierte Website besucht, die eine speziell gestaltete Silverlight-Anwendung enthält. MS16-116 behebt eine Sicherheitsanfälligkeit im VBScript-Skriptmodul, die die Ausführung von Schadcode aus der Ferne ermöglicht, wenn ein Angreifer einen Benutzer eines betroffenen Systems erfolgreich dazu verleitet, eine schädliche oder manipulierte Website zu besuchen.

Server

Exchange Server-Administratoren sollten auf das Sicherheitsbulletin MS16-108 fokussieren: Es beseitigt Anfälligkeiten, die Remotecodeausführung in einigen in Exchange Server integrierten Oracle Outside In-Bibliotheken ermöglichen, falls ein Angreifer eine E-Mail mit einem speziell gestalteten Anhang an einen anfälligen Exchange-Server sendet. Wenn diese Lücke nicht geschlossen wird, könnten Angreifer die komplette Kontrolle über den Server übernehmen.
Das Sicherheitsbulletin für Microsoft Office (MS16-107) betrifft Microsoft SharePoint Server 2007, 2010 und 2013. Es beseitigt Anfälligkeiten, die einen Angreifer befähigen können, mithilfe der Word- und Excel-Automatisierungsdienste unter SharePoint Server den Server vollständig zu übernehmen.
MS16-106 betrifft Windows Server 2008 und 2012 sowie deren R2-Pendants und stopft Sicherheitslecks, die die komplette Übernahme des betroffenen Serversystems ermöglichen können. Zudem sollten sich Serveradministratoren das Sicherheitsbulletin MS16-110 für Server 2008 und 2012 ansehen. Es beseitigt unter anderem eine Anfälligkeit, die ein Angreifer, der ein Domänenbenutzerkonto besitzt, ausnutzen könnte, indem er Windows mit einer speziellen Anfrage veranlasst, mit erweiterten Rechten beliebigen Code auszuführen.
Kurz und gut: Ein sehr umfangreiches Microsoft-Update, das Problembehebungen für Desktop- wie auch Server-Komponenten bereitstellt.