Microsoft stopft Zero-Day-Lücke und 35 weitere Lecks

Pünktlich wie gewohnt, liefert Microsoft auch im Dezember sein monatliches Sicherheitsupdate am zweiten Dienstag des Monats aus. Gefixt wurden dieses Mal insgesamt 36 Schwachstellen, sieben davon gelten als kritisch. Eine als wichtig eingestufte Lücke sei zudem bereits aktiv ausgenutzt worden, schreibt Microsoft.

Bei Letzterer handelt es sich um eine Schwachstelle im Treiber Win32k. Bei erfolgreicher Ausnutzung der Lücke war es Angreifern möglich, im Kernelmodus beliebigen Code auszuführen. So liessen sich zum Beispiel neue Programme installieren und Daten auslesen, ändern oder löschen. Auch das Erstellen neuer Benutzerkonten mit vollständigen Zugriffsrechten war möglich. Gestartet werden konnte die Attacke allerdings erst, nachdem sich der Hacker am System angemeldet hatte. Aus diesem Grund stufen die Redmonder diese Lücke zwar als wichtig, nicht jedoch als kritisch ein. Allerdings sei das Leck bereits aktiv ausgenutzt worden. Betroffen sind mehrere Client- und Server-Versionen von Windows.

Eine als kritisch gekennzeichnete Schwachstelle befand sich in der Virtualisierungslösung Hyper-V. Zwei weitere direkt in Windows selbst. Mittels präparierten Fonts hätten Angreifer das System kapern können, heisst es. Die übrigen als kritisch eingestuften Schwachstellen steckten allesamt in der Software Git, die zur Versionsverwaltung im Visual Studio genutzt wird.

Ebenfalls im Patch enthalten sind Sicherheitsupdates für den Internet Explorer (IE) 9 bis 11 sowie für Office. Microsoft zufolge waren unter anderem Lecks in Powerpoint 2010, Office 2019, Office 365 ProPlus sowie Office 2016 und 2019 für den Mac beseitigt worden. Alle diese Lücken stuft Microsoft als wichtig ein.

Ferner wurden 20 weitere Patches in verschiedenen Versionen von Windows vorgenommen. Abgesehen von den beiden oben genannten kritischen Lücken, stuft Microsoft alle weiteren als weniger gefährlich ein.

Nicht zuletzt auch aufgrund des bald endenden Supports für Windows 7, sollten Sicherheitsupdates stets möglichst zeitnah aufgespielt werden. Die Nutzer erhalten die Patches in der Regel automatisch. Alternativ lässt sich die Aktualisierung jedoch auch über das Windows-Update-Center manuell anstossen.