Microsoft hat zum Patch-Day im Mai
sieben Security-Bulletins veröffentlicht. Insgesamt gibt es Updates für 23 Sicherheitslücken. Besonders wichtig ist das kombinierte Update
MS12-034. Es beseitigt Fehler in Windows, .Net, Microsoft Office und Silverlight. Die Sicherheitslücke betrifft die Verarbeitung von TrueType-Schriften und wurde im vergangenen Jahr vom Duqu-Trojaner ausgenutzt. Das Haupteinfallstor im Windows-Kernel hat Microsoft bereits am
Patch-Day im Dezember 2011 geschlossen. Die angreifbare Funktion ist aber noch in vielen weiteren Komponenten enthalten, beispielsweise in der Grafikbibliothek Gdiplus.dll. Diese wird beispielsweise von Browsern zur Darstellung von Webfonts verwendet.
Eine weitere kritische Sicherheitslücke behandelt Microsoft im Bulletin
MS12-029. Hier geht es um ein Problem bei der Verarbeitung von RTF-Dokumenten, bei dem es zur Einschleusung von Schadcode kommen kann (Remotecodeausführung). Betroffen sind Microsoft Word 2003 und 2007 für Windows, Microsoft Office 2008 und 2011 für den Mac sowie das Microsoft Office Compatibility Pack.
Das Bulletin
MS12-035 behandelt kritische Sicherheitsanfälligkeiten im .NET-Framework. Auch hier können Angreifer Schadcode (Remotecodeausführung) einschleusen, beispielsweise beim Besuch manipulierter Webseiten.
Die anderen vier Bulletins beschreiben als „wichtig“ eingestufte Sicherheitsupdates. Sie schließen Sicherheitslücken in
Microsoft Office,
Visio Viewer 2010, dem Windows
Partitions-Manager und dem
TCP/IP-Stack beziehungsweise der Windows Firewall.
Noch ist nicht bekannt, wie viele dieser 23 Sicherheitslücken für das Ausführen von Schadcode missbraucht werden können. Auch unklar ist, ob die eine oder andere Lücke bereits aktiv ausgenutzt wird. Normalerweise veröffentlicht Microsoft nähere Details immer erst, wenn der größte Teil der Patches per Auto-Update verteilt worden sind.