Patchday Dezember 2007

Wenn vom Patchday die Rede ist, weiß eigentlich jeder, es handelt sich dabei um die Bereinigung von Sicherheitslücken für Microsoft-Produkte.

 Auch im letzten Microsoft-Patchday des Jahres wurden wieder sehr kritische Lücken gestopft. Das automatische Update erledigt das. Für alle anderen ist das manuelle Aufspielen Pflicht. Welche Probleme behoben wurden, lesen Sie hier.

Microsoft-Patchday 2007

Der Microsoft-Patchday geht in die letzte Runde für das Jahr 2007. Anders als zum Beispiel Mozilla, lässt Microsoft die Probleme und Risiken erst zusammenkommen und veröffentlicht dann seine Patches als gesammeltes Werk einmal im Monat.

Das ist sehr bedenklich und vor allem Riskant. Zum Vergleich. Der Firefox wurde jüngst innerhalb von vier Tagen in einer neuen Version veröffentlicht. Hier wurden zwar Fehler bei der Problembehebung der Vorversion gemacht, aber man reagierte eben auch sofort darauf.

Da wirkt es schon wieder fast belustigend, wenn Microsoft behauptet, der Internet Explorer wäre sicherer als der Firefox aus dem Hause Mozilla. Nun, lustig ist es natürlich nicht. Schließlich handelt es sich meist ausschließlich um kritische Sicherheitslücken, die gestopft werden müssen.

Wer das automatische Update eingestellt hat, wird sicher im Laufe des heutigen Tages seine Updates haben. Für alle anderen ist es eine absolute Pflicht, die Patches und diese Lücken manuell zu schließen.

Die Security-Lecks

Folgende Probleme behebt das gesammelte Patch-Werk von Microsoft, für den Dezember 2007:

•  Durch SMBv2 wird die Ausführung von Remote-Code möglich. Betroffen ist Windows-Vista.
• Über DirectX kann die Ausführung von schädlichem Remote-Code ermöglicht werden.
• Message Queuing ist anfällig für bösartigen Remote-Code.
• Über den Windows-Kernel können die Zugangsrechte von aussen verändert werden.
• Der Treiber für Macrovision macht ebenfalls Probleme bei den Zugangsrechten.
• Remote-Code kann ausgeführt werden über Windows Mediendatei-Format.
• Der Internet Explorer erhält wieder ein kumulatives Sicherheitsupdate.

Sieben auf einen Streich also. Leider sind vier der Sicherheitslöcher als absolut kritisch einzustufen. Die anderen drei sind aber wenn auch nicht kritisch, zumindest doch als sehr bedenklich zu berücksichtigen.

  Gerade um die Weihnachtszeit und zum Jahresende sitzen Computerbesitzer vor ihrem gehackten Rechner und ärgern sich, warum sie nicht ein wenig vorsichtiger waren. Damit das nicht passiert, erlauben Sie mir hier noch die folgende Anmerkung:

Man kann sich niemals alleine auf Updates von Microsoft oder sonstwem verlassen. Die Anwendung der gebotenen Patches ist zwar wichtig, aber längst nicht ausreichend. Es ist deshalb wirklich unbedingte Pflicht, ein vernünftiges Antiviren und Firewall-Programm einzusetzen.

Im Idealfall schützt das so gut, daß Windows sogar ohne Service-Pack recht sicher wäre. Das zeigt schon, die Patches von Microsoft sind nur ein kleines Stück Sicherheit. Ohne Firewall ist auch der gepatchte Computer bald ein gehackter Computer. Man sollte sich wirklich überlegen, ob man nicht ein paar Euro in eine gute Virenschutz-Software investiert, bevor man sich mit den kostenlosen und oft wenig tauglichen Experimenten mancher Hersteller herumärgert. Kostenlos recht sicher, geht eigentlich auch gut mit Linux. Man beachte den Artikel zu OpenSuse 11 .