Neue Zero-Day-Lücke in Windows

Laut der Sicherheitsmeldung von Microsoft steckt die Sicherheitslücke in der Windows Graphics Rendering Engine (shimgvw.dll), der das Einschleusen und Ausführen von Schadcode mit den Rechten eines angemeldeten Benutzers ermöglicht. Durch den Fehler kann von aussen beliebiger Schadcode eingeschleust und ausgeführt werden. Von der Schwachstelle sind Windows XP, Server 2003, Vista und Server 2008 betroffen. Nach Unternehmensangaben tritt das Problem nicht unter Windows 7 und Server 2008 R2 auf.

Die Sicherheitslücke lässt sich zum Beispiel mit einer E-Mail ausnutzen, an die eine Word- oder PowerPoint-Datei angehängt ist, die ein manipuliertes Thumbnail-Bild enthält. Der Angreifer muss allerdings sein Opfer dazu verleiten, die angehängte Datei zu öffnen.

In dem Security Advisory beschreibt Microsoft eine Möglichkeit, sich vor den Auswirkungen eines Angriffs zu schützen. Dafür muss der Zugriff auf die Datei 'shimgvw.dll' eingeschränkt werden. Allerdings hat das auch den Nebeneffekt, dass Mediendateien, die von der Graphics Rendering Engine verarbeitet werden, nicht mehr angezeigt werden können.

"In der Zwischenzeit arbeiten wir an einem Sicherheitsupdate, das die Anfälligkeit behebt", erklärt Microsoft-Sprecherin Angela Gunn im Blog des Security Response Center. Der nächste reguläre Patchday ist für 11. Januar geplant.