Microsoft patcht Outlook-Leck, Gefahr bleibt aber bestehen

von Luca Cannellotto

12. April 2018 - Microsoft hat im Rahmen des monatlichen Patch Day auch Outlook mit einem Update versorgt. Dieses schliesst eine seit Ende 2016 bestehende Lücke, doch offenbar ist die Gefahr dadurch nicht gänzlich gebannt.

Microsoft hat Outlook zum Patch Day dieses Monats mit einem Update versehen, das eine als wichtig eingestufte Lücke schliessen sollte. Diese (CVE-2018-0950) war bereits im November 2016 entdeckt worden, wurde aber erst jetzt behoben. Sie betrifft die Vorschau eines Dokumentes im Rich Text Format, das in einer Mail mit einem remote gehosteten OLE-Objekt angezeigt wird. Über diese Verbindung konnten sich Angreifer Zugang zu sensitiven Informationen beschaffen.

Wie "Zdnet" berichtet, soll die Lücke mit dem jüngsten Update aber nicht komplett ausgeräumt worden sein. Der Patch sorge laut dem Entdecker der Lücke, Will Dormann, zwar dafür, dass der Angriff über das Netz nun nicht mehr erfolgen könne, jedoch, wenn die OLE-Objekte von einem SMB-Server aus geladen würden. Diesen Umstand könnten sich Angreifer deshalb zu Nutze machen, um die Verbindung zu einem entsprechend präparierten SMB-Server herzustellen, und das System, auf dem Outlook ausgeführt wird, zu infiltrieren. Dormann rät Administratoren deshalb, weiterführende Sicherheitsmassnahmen einzuleiten, bis Microsoft die Lücke vollständig geschlossen hat.

Copyright by Swiss IT Media 2018