Microsoft Dezember 2014-Patchday-Nachlese

Am 9.12.2014 war ja wieder Microsoft-Patchday. Zeit für eine kleine Nachlese, was so auf euren Systemen gelandet ist. Auch ja, und für die Windows 10 Technical Preview Windows Insider auch noch ein Tipp.

Im Blogbeitrag Microsoft Dezember Patchday im Anflug hatte ich grob spezifiziert, welche Patches am 9.12. zu erwarten sind. Im Microsoft Security Bulletin für Dezember 2014 hat das Unternehmen die Details der Sicherheitsaktualisierungen bekannt gegeben.

• MS14-075: Sicherheitsanfälligkeiten in Microsoft Exchange Server können Rechteerweiterungen ermöglichen (3009712)
  Dieses Sicherheitsupdate behebt vier vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Exchange Server. Die schwerwiegendsten dieser Sicherheitsanfälligkeiten können Rechteerweiterungen ermöglichen, wenn ein Benutzer auf eine speziell gestaltete URL klickt, die den Benutzer zu einer betroffenen Outlook Web App-Website führt. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Stattdessen muss ein Angreifer Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die sie zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, auf die speziell gestaltete URL zu klicken.
• MS14-080: Kumulatives Sicherheitsupdate für Internet Explorer (3008923)
  Dieses Sicherheitsupdate behebt vierzehn vertraulich gemeldete Sicherheitsanfälligkeiten in Internet Explorer. Die schwerwiegenderen dieser Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite mit Internet Explorer anzeigt. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der aktuelle Benutzer erlangen. Benutzer mit Konten, die über weniger Systemrechte verfügen, sind davon möglicherweise weniger betroffen als Benutzer mit Administratorrechten.
• MS14-081: Sicherheitsanfälligkeiten in Microsoft Word und Office Web Apps können Remotecodeausführung ermöglichen (3017301)
  Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Word und Microsoft Office Web Apps. Die Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Angreifer einen Benutzer dazu verleitet, eine speziell gestaltete Microsoft Word-Datei mit einer betroffenen Version der Microsoft Office Software zu öffnen Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte erlangen wie der aktuelle Benutzer. Wenn der aktuelle Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Benutzer mit Konten, die über weniger Systemrechte verfügen, sind davon möglicherweise weniger betroffen als Benutzer mit Administratorrechten.
• MS14-082: Sicherheitsanfälligkeit in Microsoft Office kann Remotecodeausführung ermöglichen (3017349)
  Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Office. Die Sicherheitsanfälligkeit kann die Codeausführung von Remotestandorten aus ermöglichen, wenn eine speziell gestaltete Datei in einer betroffenen Version von Microsoft Office geöffnet wird. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der aktuelle Benutzer erlangen. Benutzer mit Konten, die über weniger Systemrechte verfügen, sind davon möglicherweise weniger betroffen als Benutzer mit Administratorrechten.
• MS14-083: Sicherheitsanfälligkeiten in Microsoft Excel können Remotecodeausführung ermöglichen (3017347)
  Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Excel. Die Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Angreifer einen Benutzer dazu verleitet, eine speziell gestaltete Microsoft Excel-Datei mit einer betroffenen Version der Microsoft Office Software zu öffnen oder in der Vorschau zu betrachten. Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte erlangen wie der aktuelle Benutzer. Wenn der aktuelle Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Benutzer mit Konten, die über weniger Systemrechte verfügen, sind davon möglicherweise weniger betroffen als Benutzer mit Administratorrechten.
• MS14-084: Sicherheitsanfälligkeit im VBScript-Skriptmodul kann Remotecodeausführung ermöglichen  (3016711)
  Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit im VBScript-Skriptmodul in Microsoft Windows. Die Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Website besucht. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der aktuelle Benutzer erlangen. Wenn der aktuelle Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.
• MS14-085: Sicherheitsanfälligkeit in Microsoft Graphics-Komponente kann Offenlegung von Informationen ermöglichen (3013126)
  Dieses Sicherheitsupdate behebt eine öffentlich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Diese Sicherheitsanfälligkeit kann die Offenlegung von Informationen ermöglichen, wenn ein Benutzer eine Website besucht, die speziell gestaltete JPEG-Inhalte enthält. Angreifer könnten diese Sicherheitsanfälligkeit bezüglich der Offenlegung von Informationen nutzen, um sich Informationen über das System zu beschaffen, die dann in Kombination mit anderen Angriffen zu einer Gefährung des Systems führen könnten. Die Sicherheitsanfälligkeit bezüglich der Offenlegung von Informationen allein lässt nicht die Ausführung von beliebigem Code zu. Ein Angreifer könnte diese Sicherheitsanfälligkeit bezüglich der Offenlegung von Informationen jedoch in Verbindung mit einer anderen Sicherheitsanfälligkeit zur Umgehung von Sicherheitsfunktionen, z. B. die Funktion zur zufälligen Anordnung des Layouts des Adressraums (Address Space Layout Randomization, ASLR), ausnutzen.

Der Internet Explorer wird zwar heftig gepatcht. Ich habe aber beim schnellen Überfliegen dieser Seite nicht gesehen, dass die im Beitrag Achtung: Neue Zero-Day-Sicherheitslücke im IE entdeckt! gemeldete Zero-Day-Exploit-Sicherheitslücke (CVE-2014-8967) durch einen Patch geschlossen wird. Falls euch was auffällt, hinterlasst einen Kommentar.

Revidierte Patches

Nach den Aussagen von Microsoft wurden folgende Bulletins einer größeren Revision unterzogen und neu freigegeben:

  * MS14-065 - Critical
  * MS14-066 - Critical


Bulletin Information:
=====================

MS14-065 - Critical

 - Title: Cumulative Security Update for Internet Explorer 
 - https://technet.microsoft.com/library/security/ms14-065
 - Reason for Revision: V2.0 (December 9, 2014): To address issues
   with Security Update 3003057, Microsoft re-released MS14-065 to
   comprehensively address CVE-2014-6353. Customers running
   Internet Explorer 8 on Windows 7 or Windows Server 2008, or
   Internet Explorer 10 should either install the newly offered
   update or install the December Internet Explorer Cumulative
   Update (3008923). See Microsoft Knowledge Base Article 3003057
   for more information.
 - Originally posted: November 11, 2014
 - Updated: December 9, 2014
 - Bulletin Severity Rating: Critical
 - Version: 2.0 

MS14-066 - Critical

 - Title: Vulnerability in Schannel Could Allow Remote Code
   Execution 
 - https://technet.microsoft.com/library/security/ms14-066
 - Reason for Revision: V3.0 (December 9, 2014): Bulletin revised to
   announce the reoffering of the 2992611 update to systems running
   Windows Vista and Windows Server 2008. The reoffering addresses
   an issue in the original release. Customers running Windows Vista
   or Windows Server 2008 who installed the 2992611 update prior to
   the December 9 reoffering should reapply the update. See
   Microsoft Knowledge Base Article 2992611 for more information. 
 - Originally posted: November 11, 2014
 - Updated: December 9, 2014
 - Bulletin Severity Rating: Critical
 - Version: 3.0

Weitere Updates am Patchday

Neben den oben erwähnten sieben Sicherheitsupdates wurden auch weitere Updates freigegeben. Bei IT-Blogger.net finden sich mehrere Artikel mit Informationen zu weiteren Patches, die ich einfach hier mal verlinke:

Update Rollup KB3013767 für Windows 8, Windows RT und Windows Server 2012
Update Rollup KB3013769 für Windows 8.1, Windows RT 8.1 und Windows Server 2012 R2

Zudem wurde das Tool zum Entfernen bösartiger Software aktualisiert (siehe). Und hier berichtet Neowin.net, dass die Hub App für das Surface Pro 3 aktualisiert wurde. Jetzt kann die Windows-Taste deaktiviert werden.

Nachtrag: Es wurde auch die Sicherheitsempfehlung 2755801 (Update für Adobe Flash in Internet Explorer) aktualisiert, um die von Adobe geschlossenen Lücken im Flash Player zu adressieren. Weitere Informationen hierzu im Adobe Bulletin APSB14-27.

Ärger mit Office in Windows 10 Technical Preview

Tester der Windows 10 Technical Preview bekommen Update-Ärger in der Build 9879, falls gleichzeitig Office installiert ist. Dann scheitert das Update verschiedener Pakete. Gabriel Aul hat in diesem Tweet auf das Problem hingewiesen und empfiehlt den schmerzhaften Weg der Office-Deinstallation.

MVP-Kollegin Barb Bowman weist in diesem Facebook-Posting aber darauf hin, dass es einfacher geht. Man muss KB3022827 zuerst und separat installieren. Dann sollen auch die anderen Updates durchlaufen. MVP-Kollege Martin Geuß hat hier auch noch was zu geschrieben.

Falls mir sonst noch was unter die Augen kommt, trage ich es nach. Momentan sind die Microsoft-Seiten noch nicht für den Dezember-Patchday aktualisiert.