Wie jeden zweiten Dienstag im Monat ist heute wieder Patch-Day bei Microsoft. Angekündigt waren 16 sicherheitsrelevante Updates für Windows und Office, die teilweise als kritisch eingestuft wurden.

Um die neuen Sicherheits-Updates zu beziehen, empfehlen wir die Nutzung der Microsoft Update Website. Andernfalls besteht die Möglichkeit, sich die Update-Dateien direkt aus dem Microsoft Download-Center bzw. den im Artikel verlinkten Security Bulletins zu laden.


Folgende Sicherheits-Updates wurden heute veröffentlicht:

MS10-071 - Kumulatives Sicherheitsupdate für Internet Explorer
Dieses Sicherheitsupdate behebt sieben vertraulich gemeldete Sicherheitsanfälligkeiten und drei öffentlich gemeldete Sicherheitsanfälligkeiten in Internet Explorer. Die schwerwiegendsten Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite mit Internet Explorer anzeigt. Microsoft stuft die Probleme zusammenfassend als kritisch ein.

Security Bulletin: MS10-071
Knowledge Base: KB2360131



MS10-072 - Sicherheitsanfälligkeiten in SafeHTML
Dieses Sicherheitsupdate behebt eine öffentlich gemeldete Sicherheitsanfälligkeit und eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft SharePoint und Windows SharePoint Services. Die Sicherheitsanfälligkeiten können die Offenlegung von Informationen ermöglichen, wenn ein Angreifer mithilfe von SafeHTML speziell gestaltetes Skript an eine Zielwebsite sendet. Microsoft stuft das Problem als 'Hoch' ein.

Security Bulletin: MS10-072
Knowledge Base: KB2412048



MS10-073 - Sicherheitsanfälligkeiten in Windows-Kernelmodustreibern
Dieses Sicherheitsupdate behebt mehrere öffentlich gemeldete Sicherheitsanfälligkeiten in den Windows-Kernelmodustreibern. Die schwerste dieser Sicherheitsanfälligkeiten kann eine Erhöhung von Berechtigungen ermöglichen, wenn sich ein Angreifer bei dem betroffenen System anmeldet und eine speziell gestaltete Anwendung ausführt. Ein Angreifer benötigt gültige Anmeldeinformationen und muss sich lokal anmelden können, um diese Sicherheitsanfälligkeit auszunutzen. Von den als 'hoch' eingestuften Problemen sind alle aktuellen Windows-Versionen betroffen.

Security Bulletin: MS10-073
Knowledge Base: KB981957



MS10-074 - Sicherheitsanfälligkeit in Microsoft Foundation Classes
Dieses Sicherheitsupdate behebt eine öffentlich gemeldete Sicherheitsanfälligkeit in der MFC-Bibliothek (Microsoft Foundation Class). Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Benutzer mit administrativen Benutzerrechten angemeldet ist und eine Anwendung öffnet, die mit der MFC-Bibliothek erstellt wurde. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Berechtigungen erlangen wie der angemeldete Benutzer. Das von Microsoft als 'mittel' eingestufte Problem betrifft alle aktuellen Windows-Versionen.

Security Bulletin: MS10-074
Knowledge Base: KB2387149



MS10-075 - Sicherheitsanfälligkeit im Media Player-Netzwerkfreigabedienst
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit im Microsoft Windows Media Player-Netzwerkfreigabedienst. Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Angreifer ein speziell gestaltetes RTSP-Paket an ein betroffenes System sendet. Der Internetzugriff auf Heimmedien ist jedoch standardmäßig deaktiviert. In dieser Standardkonfiguration kann die Sicherheitsanfälligkeit nur von einem Angreifer innerhalb des gleichen Subnetzes ausgenutzt werden. Dieses Sicherheitsupdate wird für unterstützte Editionen von Windows 7 als Kritisch und für alle unterstützten Editionen von Windows Vista als Hoch eingestuft.

Security Bulletin: MS10-075
Knowledge Base: KB2281679



MS10-076 - Sicherheitsanfälligkeit im Embedded OpenType-Schriftartmodul
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in der Microsoft Windows-Komponente des Embedded OpenType (EOT)-Schriftartmoduls. Diese Sicherheitsanfälligkeit kann die Codeausführung von Remotestandorten aus ermöglichen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über das betroffene System erlangen. Microsoft stuft das Problem für alle aktuellen Windows-Versionen als kritisch ein.

Security Bulletin: MS10-076
Knowledge Base: KB982132



MS10-077 - Sicherheitsanfälligkeit in .NET Framework
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft .NET Framework. Die Sicherheitsanfälligkeit kann Remotecodeausführung auf einem Clientsystem ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite in einem Webbrowser anzeigt, der XAML-Browseranwendungen (XBAPs) ausführen kann. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten. Die Sicherheitsanfälligkeit kann auch Remotecodeausführung auf einem Serversystem ermöglichen, auf dem IIS ausgeführt wird, wenn dieser Server die Verarbeitung von ASP.NET-Seiten zulässt und ein Angreifer erfolgreich eine speziell gestaltete ASP.NET-Seite auf den Server hochlädt und dann ausführt, wie es in einem Webhostingszenario der Fall sein kann. Dieses Sicherheitsupdate wird für Microsoft .NET Framework 4.0 unter unterstützten x64-basierten und Itanium-basierten Editionen von Microsoft Windows als Kritisch eingestuft.

Security Bulletin: MS10-077
Knowledge Base: KB2160841



MS10-078 - Sicherheitsanfälligkeit im OTF-Formattreiber
Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten im Windows OTF-Formattreiber (OpenType Font). Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Windows XP und Windows Server 2003 als Hoch eingestuft. Alle unterstützten Editionen von Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 sind nicht von der Sicherheitsanfälligkeit betroffen. Die Sicherheitsanfälligkeiten können Erhöhung von Berechtigungen ermöglichen, wenn ein Benutzer Inhalte anzeigt, die in einer speziell gestalteten OpenType-Schriftart dargestellt werden.

Security Bulletin: MS10-078
Knowledge Base: KB2279986



MS10-079 - Sicherheitsanfälligkeiten in Microsoft Word
Dieses Sicherheitsupdate behebt elf vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Office. Die Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Word-Datei öffnet. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Microsoft Word 2002, Microsoft Word 2003, Microsoft Word 2007, Microsoft Word 2010, Microsoft Office 2004 für Mac und Microsoft Office 2008 für Mac, Open XML-Dateiformatkonverter für Mac und alle unterstützten Versionen von Microsoft Office Word Viewer und Microsoft Office Compatibility Pack als Hoch eingestuft.

Security Bulletin: MS10-079
Knowledge Base: KB2293194



MS10-080 - Sicherheitsanfälligkeiten in Microsoft Excel
Dieses Sicherheitsupdate behebt dreizehn vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Office. Die Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Excel-Datei oder eine speziell gestaltete Lotus 1-2-3-Datei öffnet. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Microsoft Excel 2002, Microsoft Excel 2003, Microsoft Excel 2007, Microsoft Office 2004 für Mac und Microsoft Office 2008 für Mac sowie für Open XML-Dateiformatkonverter für Mac und alle unterstützten Versionen von Microsoft Office Excel Viewer und Microsoft Office Compatibility Pack als Hoch eingestuft.

Security Bulletin: MS10-080
Knowledge Base: KB2293211



MS10-081 - Sicherheitsanfälligkeit in der Bibliothek der allgemeinen Windows-Steuerelemente
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in der Bibliothek der allgemeinen Windows-Steuerelemente. Wenn ein Benutzer eine speziell gestaltete Webseite besucht, kann diese Sicherheitsanfälligkeit Remotecodeausführung ermöglichen. Wenn ein Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Microsoft stuft das Problem für alle aktuellen Windows-Versionen als hoch ein.

Security Bulletin: MS10-081
Knowledge Base: KB2296011



MS10-082 - Sicherheitsanfälligkeit in Windows Media Player
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Windows Media Player. Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn Windows Media Player speziell gestaltete Medieninhalte öffnet, die auf einer schädlichen Website gehostet werden. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Endbenutzer erlangen. Dieses Sicherheitsupdate wird für Windows Media Player 9-Reihe, Windows Media Player 10, Windows Media Player 11 und Windows Media Player 12 bei Installation unter unterstützten Versionen von Microsoft Windows als Hoch eingestuft, mit Ausnahme von Windows Server 2008 und Windows Server 2008 R2.

Security Bulletin: MS10-082
Knowledge Base: KB2378111



MS10-083 - Sicherheitsanfälligkeit bei COM-Überprüfung in Windows Shell und WordPad
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Datei mithilfe von WordPad öffnet oder eine Verknüpfungsdatei auswählt oder öffnet, die sich auf einer Netzwerk- oder WebDAV-Freigabe befindet. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Endbenutzer erlangen. Dieses Sicherheitsupdate wird für alle aktuellen Windows-Versionen als Hoch eingestuft.

Security Bulletin: MS10-083
Knowledge Base: KB2405882



MS10-084 - Sicherheitsanfälligkeit im lokalen Windows-Prozeduraufruf
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Windows XP und Windows Server 2003 als Hoch eingestuft. Die Sicherheitsanfälligkeit kann eine Erhöhung von Berechtigungen ermöglichen, wenn sich ein Angreifer bei einem betroffenen System anmeldet und speziell gestalteten Code ausführt, der eine LPC-Nachricht an den lokalen LRPC-Server sendet. Die Nachricht kann dann einem authentifizierten Benutzer ermöglichen, auf Ressourcen zuzugreifen, die im Kontext des Netzwerkdienstkontos ausgeführt werden.

Security Bulletin: MS10-084
Knowledge Base: KB2360937



MS10-085 - Sicherheitsanfälligkeiten in SChannel
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit im SChannel-Sicherheitspaket (Secure Channel) in Windows. Die Sicherheitsanfälligkeit kann Denial-of-Service ermöglichen, wenn ein betroffener IIS-Server (Internetinformationsdienste), der eine SSL-aktivierte (Secure Sockets Layer) Website hostet, eine speziell gestaltete Paketnachricht erhält. Standardmäßig ist IIS nicht dafür konfiguriert, SSL-Websites zu hosten. Dieses Sicherheitsupdates wird für alle unterstützten Editionen von Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 als Hoch eingestuft.

Security Bulletin: MS10-085
Knowledge Base: KB2207566



MS10-086 - Sicherheitsanfälligkeit in freigegebenen Windows-Clusterdatenträgern
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Windows Server 2008 R2, wenn dieses als freigegebener Failovercluster verwendet wird. Die Sicherheitsanfälligkeit kann Manipulation von Daten auf den administrativen Freigaben von Failovercluster-Datenträgern ermöglichen. Standardmäßig sind Windows Server 2008 R2-Server nicht von dieser Sicherheitsanfälligkeit betroffen. Diese Sicherheitsanfälligkeit betrifft nur Clusterdatenträger, die in einem Failovercluster verwendet werden.

Security Bulletin: MS10-086
Knowledge Base: KB2294255