Der Konzern hat sechs Updates veröffentlicht, insgesamt werden 15 Lücken in diversen Anwendungen gestopft. Der umfangreichste Patch betrifft den Internet Explorer, für den ein kumulatives Update erschienen ist. Aber auch für Outlook Express und Windows Mail gibt es Flicken. Vier der sechs Updates werden als "kritisch" eingestuft, das Aufspielen ist also dringend zu empfehlen.
Der Juni-Patch-Day bei Microsoft umfasst sechs Updates, die insgesamt 15 Schwachstellen im Internet Explorer 5/6/7, Windows, Outlook Express, Windows Mail und weiteren Anwendungen schließen sollen. Vier der sechs Updates werden als "kritisch" eingestuft, eines als "hoch" und das letzte als "mittel".
Kritische Updates (alle Angaben von Microsoft):
Microsoft Security Bulletin MS07-033Kumulatives Sicherheitsupdate für Internet Explorer (933566)Dieses kritische Sicherheitsupdate behebt fünf von Privatanwendern gemeldete Sicherheiitsanfälligkeiten und eine öffentlich gemeldete Sicherheitsanfälligkeit. Bis auf eine Ausnahme können alle dieser Sicherheitsanfälligkeiten Remotecodeausführung ermöglichen, wenn ein Benutzer in Internet Explorer eine speziell gestaltete E-Mail anzeigt. Eine Sicherheitsanfälligkeit könnte Spoofing-Angriffe ermöglichen und erfolgt auch über eine speziell gestaltete Webseite. Bei allen Fällen der Remotecodeausführung könnten Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, weniger stark betroffen sein als Benutzer, die mit administrativen Benutzerrechten arbeiten. Damit der Spoofing-Angriff ausgenutzt werden kann, sind Benutzereingriffe erforderlich.
Betroffene Software: Internet Explorer 5.01 SP4, Internet Explorer 6, Internet Explorer 7
Microsoft Security Bulletin MS07-034
Kumulatives Sicherheitsupdate für Outlook Express und Windows Mail (929123)Mit diesem kritischen Sicherheitsupdate werden zwei Sicherheitsanfälligkeiten behoben, die privat gemeldet wurden, sowie zwei öffentlich gemachte Anfälligkeit. Eine dieser Sicherheitsanfälligkeiten kann Remotecodeausführung ermöglichen, wenn ein Benutzer in Windows Mail in Windows Vista eine speziell gestaltete E-Mail anzeigt. Die anderen Sicherheitsanfälligkeiten könnten die Offenlegung von Information ermöglichen, wenn ein Benutzer mit Internet Explorer eine speziell gestaltete Web-Seite besucht; diese Sicherheitsanfälligkeiten können nicht direkt in Outlook Express ausgenutzt werden. Bei den Sicherheitsanfälligkeiten durch die Offenlegung von Informationen sind Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, u. U. weniger stark gefährdet als Benutzer, die mit administrativen Benutzerrechten arbeiten.
Betroffene Software: Outlook Express 6, Windows Mail
Microsoft Security Bulletin MS07-035
Sicherheitsanfälligkeit in Win32 API kann Remotecodeausführung ermöglichen (935839)Dieses kritische Sicherheitsupdate behebt eine von Privatanwendern gemeldete Sicherheitsanfälligkeit in einer Win32 API. Diese Sicherheitsanfälligkeit kann Remotecodeausführung oder nicht autorisiertes Erteilen von Benutzerrechten (Elevation of Privilege) ermöglichen, wenn die betroffene API lokal von einer speziell gestalteten Anwendung verwendet wird. Daher könnten Anwendungen, die diese Komponente der Win32 API verwenden, als ein Vektor für diese Sicherheitsanfälligkeit verwendet werden. Internet Explorer z. B. verwendet diese Win32 API-Funktion beim Analysieren speziell gestalteter Web-Seiten.
Betroffene Software: Windows 2000 SP4, XP SP2, XP Professional x64, Server 2003
Microsoft Security Bulletin MS07-031
Sicherheitsanfälligkeit im Windows SChannel-Sicherheitspaket kann Remotecodeausführung ermöglichen (935840)Dieses kritische Sicherheitsupdate behebt eine von Privatanwendern gemeldete Sicherheitsanfälligkeit im SChannel-Sicherheitspaket (Security Channel) in Windows. Das SChannel-Sicherheitspaket implementiert die standardmäßigen Internetauthentifizierungsprotokolle Secure Sockets Layer (SSL) und Transport Layer Security (TLS). Diese Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite mithilfe eines Internetwebbrowsers anzeigt oder eine Anwendung verwendet, die SSL/TLS nutzt. Das Ausnutzen dieser Sicherheitsanfälligkeit würde jedoch höchstwahrscheinlich zum Beenden des Internetwebbrowsers oder der Anwendung führen. Das System kann keinesfalls Websites oder Ressourcen mit SSL oder TLS aufrufen, bis das System neu gestartet wurde.
Betroffene Software: Windows 2000 SP4, XP SP2, XP Professional x64, Server 2003
Einstufung Hoch:
Microsoft Security Bulletin MS07-030Sicherheitsanfälligkeiten in Microsoft Visio können Remotecodeausführung ermöglichen (927051)Mit diesem wichtigen Sicherheitsupdate werden zwei Sicherheitsanfälligkeiten, die privat und verantwortungsbewusst gemeldet wurden, zusammen mit anderen Problemen behoben, die im Laufe der Untersuchungen identifiziert wurden. Die von Privatanwendern gemeldeten Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Visio-Datei öffnet. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten. Zum Ausnutzen dieser Sicherheitsanfälligkeiten sind jedoch Benutzereingriffe erforderlich.
Betroffene Software: Visio 2002, 2003
Einstufung Mittel:
Microsoft Security Bulletin MS07-032Sicherheitsanfälligkeit in Windows Vista kann Offenlegung von Informationen ermöglichen (931213)Dieses mittlere Sicherheitsupdate behebt eine von einem Privatanwender gemeldete Sicherheitsanfälligkeit. Diese Sicherheitsanfälligkeit könnte nicht berechtigten Benutzern den Zugriff auf lokale Datenspeicher für Benutzerinformationen einschließlich administrativer Kennwörter ermöglichen, die in der Registrierung und im lokalen Dateisystem enthalten sind.
Betroffene Software: Windows Vista
Quelle: Microsoft