Microsoft hat Outlook zum Patch Day dieses Monats mit einem Update versehen, das eine als wichtig eingestufte Lücke schliessen sollte. Diese (
CVE-2018-0950) war bereits im November 2016 entdeckt worden, wurde aber erst jetzt behoben. Sie betrifft die Vorschau eines Dokumentes im Rich Text Format, das in einer Mail mit einem remote gehosteten OLE-Objekt angezeigt wird. Über diese Verbindung konnten sich Angreifer Zugang zu sensitiven Informationen beschaffen.
Wie "
Zdnet" berichtet, soll die Lücke mit dem jüngsten Update aber nicht komplett ausgeräumt worden sein. Der Patch sorge laut dem Entdecker der Lücke, Will Dormann, zwar dafür, dass der Angriff über das Netz nun nicht mehr erfolgen könne, jedoch, wenn die OLE-Objekte von einem SMB-Server aus geladen würden. Diesen Umstand könnten sich Angreifer deshalb zu Nutze machen, um die Verbindung zu einem entsprechend präparierten SMB-Server herzustellen, und das System, auf dem Outlook ausgeführt wird, zu infiltrieren. Dormann rät Administratoren deshalb, weiterführende Sicherheitsmassnahmen einzuleiten, bis
Microsoft die Lücke vollständig geschlossen hat.
(luc)
