Menü

Außer der Reihe Microsoft stellt Update gegen LNK-Lücke bereit

Wie angekündigt hat Microsoft heute Abend außerhalb des üblichen Patch-Day-Zyklus das Security Bulletin MS10-046 veröffentlicht. Es behandelt die bereits seit ein paar Wochen von Schädlingen unterschiedlicher Art ausgenutzte, so genannte "LNK-Lücke". Es stellt Sicherheits-Updates für alle noch unterstützten Windows-Versionen bereit, mit denen diese Schwachstelle beseitigt werden soll.

Die bereits durch Malware ausgenutzte Schwachstelle (wir berichteten) entsteht durch einen Fehler in der Windows Shell beim Auslesen von Symbolen in Dateiverknüpfungen. Typischerweise sind dies LNK-Dateien, deren Endung der Windows Explorer standardmäßig nicht anzeigt. Doch auch PIF-Dateien (für Verknüpfungen mit MSDOS-Programmen gedacht) und in Dokumente eingebettete Verknüpfungen auf Programmdateien können für Angriffe genutzt werden.

Öffnet ein Benutzer ein Verzeichnis oder ein Laufwerk, das eine speziell präparierte Verknüpfung enthält, mit dem Windows Explorer (oder einem anderen Dateimanager), kann ohne weiteres Zutun ein Programm starten. Das funktioniert etwa mit infizierten USB-Sticks, Netzwerkfreigaben oder via WebDAV.

Windows 2000 und Windows XP SP2 (32 Bit) werden nicht mehr unterstützt und bleiben daher auf Dauer anfällig. Für Windows XP ist die Installation des bereits seit zwei Jahren erhältlichen Service Pack 3 Voraussetzung für die weitere Versorgung mit Sicherheits-Updates durch Microsoft bis 2014.

Wenn Sie Microsofts Fix-it-Lösung gegen die LNK-Lücke angewendet haben, sollten Sie diese wieder zurück setzen, nachdem Sie das heute veröffentlichte Update installiert haben. Das passiert nicht automatisch, da beides voneinander unabhängig ist.

Weitere Informationen finden Sie im Security Bulletin MS10-046.

 
x