Kritische Lücke: Manipulierte Office-Datei kann Computer übernehmen

Microsoft hat im Rahmen des monatlichen Patch-Dienstages ein Update veröffentlicht, das 66 Sicherheitslücken behebt. Bei einer handelt es sich um eine besonders kritische Zero-Day-Lücke, die von Hacker*innen bereits aktiv ausgenutzt wird. Konkret handelt es sich um ein Problem in Office-Dateien mit ActiveX-Kontrollelementen. Bereits vor einigen Tagen warnte Microsoft davor, dass Angreifer diese Lücke ausnutzen und versuchen, Opfer dazu zu bringen, manipulierte Files anzuklicken.

Zum Zeitpunkt der Warnung gab es noch keinen Fix, Microsoft erklärte nur, dass User*innen unbedingt Defender Antivirus oder Microsoft Defender for Endpoint eingeschaltet haben sollen, die derartige Attacken erkennen und unterbinden können. Es wurde auch geraten, ActiveX-Steuerelemente im Internet Explorer zu deaktivieren.

Die als CVE-2021-40444 bekannte Schwachstelle betrifft Windows Server ab Version 2008 und Windows 7 bis 10. Daneben wurden noch Lücken im Windows WLAN AutoConfig Service und in der Open Management Infrastructure geschlossen. Die Aktualisierung sollte wie gewohnt schnellstmöglich über die Windows-interne Update-Funktion installiert werden.