Zehn Patches von Microsoft sollen insgesamt 28 Sicherheitslücken schließen. Zahlreiche der Lücken stufen die Redmonder als kritisch ein, da sich darüber Schadcode einschleusen und ausführen lässt. Am dramatischsten stellt sich dies insbesondere beim Internet Explorer dar: Ein kumulatives Update schließt alleine schon acht Lücken in den Versionen 5.01 bis 8, von denen sechs beim Besuch einer präparierten Webseite zur einer Infektion des Systems führen können.

Der Erfolg eines Angriffs hängt aber auch vom verwendeten Betriebssystem ab. Unter Windows Server 2003 und 2008 läuft der Internet Explorer in einem speziellem "restricted Mode", der Angriffe erschwert. Zudem hält Microsoft das Auftauchen eines funktionierenden Exploits für nur einen der acht Fehler für wahrscheinlich.

Ein Update für Active Directory beseitigt eine DoS-Lücke und eine Schwachstelle, durch die sich ein System kompromittieren lässt – in der Regel aber nur von Angreifern aus dem lokalen Netz oder solche aus dem Internet, die es bis ins LAN geschafft haben.

Dem Drucker-Spooler hat der Softwarekonzern ebenfalls einen Patch gewidmet, um zwei Privilege-Escalation-Schwachstellen und einen aus der Ferne provozier- und ausnutzbaren Buffer Overflow zu korrigieren. Word, Excel und die Works Converter bekommen weitere Updates spendiert, wobei das Excel-Update sieben Einfallstore für gezielte Angriffe mit infizierten Dokumenten aus der Welt schafft.

In der Update-Sammlung finden sich auch Patches, die die WebDAV-Lücken im Internet Information Server (IIS) 5.0, 5.1 und 6.0 schließen. Vier Fehler beseitigt Microsoft darüber hinaus im Kernel von Windows 2000 bis Server 2008, die am System angemeldete Anwender mit eingeschränkten Rechten für Systemzugriffe missbrauchen können.

Die RPC Marshalling Engine ermöglicht ohne eines der veröffentlichten Updates das Ausführen von beliebigem Code auf einem System. Die Redmonder stufen das Update zur Lösung des Problems aber nur als "wichtig" ein, da in Standardkonfigurationen der Fehler nicht auftreten soll. RPC-Anwendungen anderer Hersteller könnten aber betroffen sein.

Das zehnte Update verhindert, dass Windows Search bestimmte Informationen an unautorisierte Personen verrät. Wie erwartet gibt es noch keinen Patch für die DirectShow-Lücke. Nach Angaben des Microsoft Security Response Center arbeitet man weiterhin hart an einem Patch. Bis dahin empfiehlt man Anwendern, den als Installer-Datei (.msi) verfügbaren Workaround herunterzuladen und zu starten. Der löscht einen bestimmten Schlüssel in der Registry und verhindert damit das Parsen von Quicktime-Filmen in der anfälligen Bibliothek Quartz.dll.

Links:
- Quelle
- Microsoft Security Bulletin Summary für Juni 2009