Fünf Exploits für bisher unbekannte kritische Sicherheitslücken hat die Veröffentlichung interner Daten des Malware-Herstellers Hacking Team bisher zu Tage gebracht. Drei davon betrafen Flash, und wurden mittlerweile allesamt von Adobe geschlossen. Nun zieht Microsoft nach und macht ebenfalls seine Sicherheitshausaufgaben.

Internet Explorer

Am Dienstag hat das Unternehmen Notfalls-Updates für zwei kritische Lücken in der eigenen Software veröffentlicht. Besonders problematisch war dabei ein Problem im Internet Explorer: Konnten über dies doch Angreifer von außen Schadcode auf vollständig aktuellen Windows 7 oder 8/8.1-Systemen einschmuggeln und zur Ausführung bringen. Betroffen sind laut Microsoft praktisch alle Internet-Explorer-Versionen – von IE6 bis IE11.

Aufdeckung

Der Exploit war von mehreren Sicherheitsforschern im Mail-Verkehr von Hacking-Team entdeckt worden, darunter auch vom Sicherheitsdienstleister Vectra, der weitere technische Details liefert. Im Gegensatz zu den Flash-Lücken scheint dieses Bug zumindest bisher nicht im großen Stil ausgenutzt zu werden. Ein Grund dafür könnte sein, dass der Exploit offenbar nicht hunderprozentig zuverlässig funktioniert – was Hacking Team natürlich nicht davon abgehalten hat, ihn seinen Kunden zu verkaufen.

Windows

Das zweite Update betrifft eine Lücke in Windows. Über diese ist es lokalen Nutzern möglich erhöhte Rechte zu erlangen. Solche Bugs werden üblicherweise in Kombination mit anderen Problemen ausgenutzt, um einen Rechner vollständig zu übernehmen.

Chrome-Spekulationen

Bei Arstechnica spekuliert man denn auch, dass es wohl diese Lücke war, die es ermöglicht hat, dass die aktuellen Flash-Lücken selbst in Googles Chrome funktioniert haben. Üblicherweise ist es deutlich schwerer Flash-Bugs in Chrome auszunutzen, da das entsprechende Plugin im Google-Browser vom restlichen Browser isoliert läuft. Ein Windows-Bug würde es natürlich ermöglichen, diese Beschränkungen auszutricksen. (apo, 15.7.2015)