Das neue Update ergänzt den jüngsten außerplanmäßigen Patch für Internet Explorer. Es behebt aber auch ein Problem mit der Druckwarteschlange. Die Verteilung erfolgt bereits über Windows Update und WSUS.

Microsoft hat ein weiteres außerplanmäßiges Update für Windows 10 veröffentlicht, das sicherheitsrelevante Fehler beseitigen soll. Es ergänzt den am 23. September veröffentlichten Patch für den „alten“ Microsoft-Browser Internet Explorer.

Das Update hebt die Versionsnummer von Windows 10 1903 auf Build 19362.388 an. „Dies ist ein benötigtes Sicherheitsupdate, das das außerplanmäßige Update vom 23. September 2019 erweitert“, heißt es im Support-Artikel zum Update KB4524147. Das Update verteilt Microsoft aber auch für Windows 10 Version 1809, 1803, 1709, 1703 und 1607.

Es beinhaltet einen Fix für eine Schwachstelle in der Scripting Engine von Internet Explorer, die bereits aktiv für Angriffe ausgenutzt wird. Betroffen sind Internet Explorer 10 für Windows Server 2012 sowie Internet Explorer 11 für Windows 10, Server 2019, Server 2016, 7, 8.1, Server 2008 und Server 2012. Auch Internet Explorer 9 für Windows Server 2008 ist angreifbar.

Ein Angreifer kann unter Umständen Schadcode einschleusen und im Kontext des aktuellen Benutzers ausführen. Der Fehler tritt bei der Verarbeitung von Skript-Objekten auf. „In einem webbasierten Angriffsszenario kann ein Angreifer eine speziell gestaltete Website einrichten, die die Sicherheitsanfälligkeit über Internet Explorer ausnutzt, und dann einen Benutzer beispielsweise durch Senden einer E-Mail zum Besuch der Website verleiten“, teilte Microsoft vor zwei Wochen mit.

Das ursprüngliche Update KB4522016 bot Microsoft allerdings nur über den Microsoft Update Catalog an. Nutzer des Internet Explorer mussten das Update-Paket manuell herunterladen und installieren – vorausgesetzt, sie hatten überhaupt Kenntnis von dem Patch. Warum Microsoft den Fix erst jetzt mit dem Update KB4524147 über Windows Update und WSUS freigibt, ist indes nicht bekannt.

Nutzer, die KB4522016 bereits manuell eingespielt haben, erhalten das neue Update ebenfalls. Es behebt nämlich auch ein kürzlich entdecktes Problem mit der Druckwarteschlange, das dazu führen kann, dass Druckaufträge nicht ausgeführt werden. Auch ein Fehler, der dazu führte, dass bestimmte Features on Demand wie .Net 3.5 nicht installiert werden, soll nun der Vergangenheit angehören.

Es kommt zuerst auf dem neuen Surface Neo zum Einsatz. Windows 10X führt Win32-Anwndungen in Containern aus und optimiert ihren Energieverbrauch für die neue Geräteklasse. Dual-Screen-Geräte mit Windows 10X wird es auch von Asus, Dell, HP und Lenovo geben.

Microsoft hat auf seinem Surface-Event auch ein faltbares Tablet mit zwei Displays vorgestellt. Das Surface Neo verfügt wie das Surface Duo über ein 360-Grad-Scharnier, mit dem sich die innenliegenden Displays auch nach außen klappen lassen. Als Betriebssystem kommt eine speziell angepasste Version von Windows 10 zum Einsatz, die das Unternehmen als Windows 10X bezeichnet.

Aufgeklappt bietet das Surface Neo dem Nutzer ein 13-Zoll-Display an, das sich aus den beiden 9-Zoll-Screens zusammensetzt. Laut Microsoft wurde das Gerät für Multitasking entwickelt – es soll zudem die Produktivität eines PCs bieten. Zur Bedienung stehen neben einer Bluetooth-Maus und dem Surface Pen auch eine Tastatur zur Verfügung, die sich auf ein Display legen lässt und das Surface Neo dann zu einem Mini-Laptop macht. Da die Tastatur nur einen Teil des anderen Bildschirms belegt, lässt sich der Rest des Screens als Touchpad nutzen.

Windows 10X ist indes nicht nur für das Surface Neo gedacht, sondern auch für Dual-Screen-Geräte anderer Hersteller. Microsoft hofft also, mit dem Surface Neo eine neue Geräteklasse einzuführen, die kompakter und leichter als seine bisherigen Surface-Tablets ist.

„Windows 10X ist das Beste von Windows 10, das entwickelt wurde, um einzigartige Erlebnisse auf Dual-Screen-PCs zu ermöglichen. Wir haben das Windows 10, das die Kunden kennen und lieben, genommen und Windows 10X so entwickelt, dass es das Vertraute mit dem Neuen verbindet“, teilte Microsoft mit. Unter anderem sollen im kommenden Jahr, dann soll auch das Surface Neo starten, Hersteller wie Asus, Dell, HP und Lenovo eigene Dual-Screen-Geräte in den Handel bringen.

Die Bedienung von Windows 10X soll der von Windows 10 entsprechen. Allerdings verspricht Microsoft für Windows 10X Weiterentwicklungen der Windows-Core-Technik, die das Betriebssystem für flexible Display-Positionen und einen mobileren Einsatz optimiert. Unter anderem soll es den Stromverbrauch von vorhandenen Windows-Apps optimieren.

Grundlage von Windows 10X die Technik „One Core“, die den Einsatz von Windows 10 auf unterschiedlichen Geräteklassen wie Desktop-PCs, Xbox-Konsolen und HoloLens ermöglicht. Win32-Anwendungen wird das Betriebssystem nach Unternehmensangaben in Containern ausführen.

Die erste Generation von Dual-Screen-Geräten mit Windows 10X wird laut Microsoft von Intel-Prozessoren angetrieben. Der Hinweis des Unternehmens darauf sowie das ebenfalls vorgestellte Surface Pro X, dass von einem ARM-Prozessor angetrieben wird, legt jedoch die Vermutung nahe, dass es künftig auch ARM-basierte Dual-Screen-Geräte mit Windows 10X geben wird – möglicherweise dann auch mit einer Telefonfunktion.

Es handelt sich offenbar um einen Exploit der NSO Group. Er ermöglicht unter Umständen eine Remotecodeausführung. Betroffen sind Neben Google Pixel 2 auch Huawei P20 und Samsung Galaxy S7, S8 und S9.

Google-Forscher warnen vor einer Zero-Day-Lücke in Android, die unter Umständen das Einschleusen und Ausführen von Schadcode ermöglicht. Betroffen sind aber offenbar nur bestimmte Geräte, wobei sich derzeit wohl noch nicht abschätzen lässt, welche Smartphones und Tablets tatsächlich angreifbar sind. Herstellern steht bereits ein Patch zur Verfügung – Google selbst kündigt dessen Verteilung mit dem Oktober-Update an.

Bei der Lücke mit der Kennung CVE-2019-2215 handelt es sich um einen Use-after-free-Bug im Kernel. Er lässt sich mithilfe einer schädlichen App oder in Verbindung mit einer Sicherheitslücke im Renderer-Prozess eines Browsers ausnutzen. Das davon ausgehende Sicherheitsrisiko stuft Google als hoch ein.

Entdeckt wurde der Bug bereits am 27. September, weswegen er planmäßig eigentlich erst im November hätte gepatcht werden sollen. Wenige Tage später stellte sich jedoch heraus, dass derselbe Fehler bereits seit längerem von der NSO Group an Behörden und Regierungen verkauft wird, um sich unter anderem Zugang zu Mobilgeräten von mutmaßlichen Straftätern zu verschaffen. Da der Exploit zudem öffentlich bekannt ist, entschloss sich Google daraufhin, die Details der Sicherheitslücke bereits nach sieben Tagen preiszugeben – noch vor der Veröffentlichung eines Patches.

Den Google-Forschern zufolge sind allerdings nur Android-Geräte ab Version 8.x anfällig. In Einzelfällen beschränkt sich die Schwachstelle sogar auf Android 9 und 10, wie beim Pixel 2. Das Pixel 3 hingegen ist gar nicht angreifbar. Positiv getestet wurden hingegen auch Huawei P20, Xiaomi Redmi 5A und Redmi Note 5, Xiaomi A1, Oppo A3, Moto Z3, alle LG-Smartphones mit Android 8.x Oreo sowie Samsung S7, S8 und S9. Google betont, dass diese Liste nicht vollständig ist und lädt Forscher ein, den vorhandenen Exploit-Code mit weiteren Geräten zu testen.

Die Schwachstelle an sich ist sogar schon deutlich länger bekannt. Sie wurde im Dezember 2017 bereits im Linux Kernel 4.14 LTS sowie in den Kerneln 3.18, 4.4 und 4.9 des Android Open Source Project gestopft. Der Fix fand aber anscheinend nicht den Weg in den Android-Common-Kernel. „Wir haben die Android-Partner informiert und der Patch ist im Android-Common-Kernel verfügbar“, teilte Google-Mitarbeiter Tim Willis am 3. Oktober im Bugtracker des Project Zero mit.

Google will den Patch an seine Geräte mit dem dieser Tage erwarteten Oktober-Update verteilen. Ob es Herstellern wie Samsung, Huawei, LG, und Xiaomi gelungen ist, den Fix ebenfalls in ihrer Oktober-Aktualisierungen einzuarbeiten, wird sich in den kommenden Tagen zeigen. Unter Umständen werden Nutzer bis November oder noch länger auf einen Patch warten müssen.