Eine neue Sicherheitslücke in Windows sorgt für Alarm bei IT-Expert*innen und Nutzer*innen. Microsoft hat kürzlich bekanntgegeben, dass es durch eine gefährliche Schwachstelle möglich ist, Schadcode allein durch die Vorschau von E-Mails in Outlook auszuführen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und Microsoft selbst warnen dringend vor den Gefahren und raten daher zur sofortigen Installation eines Updates.

Windows: Gefahr auch ohne Einwirkung der Nutzer*innen

Die Schwachstelle mit der Kennung CVE-2025-21298 betrifft die OLE-Technologie (Object Linking and Embedding) von Windows, die häufig für die Verknüpfung von Dokumenten genutzt wird. Der Angriff erfolgt laut Microsoft durch speziell präparierte E-Mails, die keinerlei Aktionen der Nutzer*innen erfordern. Schon die bloße Anzeige der E-Mail-Vorschau in Outlook soll dabei ausreichen, um Schadcode auf das Gerät zu schleusen, berichtet Golem. Mit einem CVSS-Wert von 9,8 gilt die Lücke als äußerst kritisch.

Besonders problematisch ist, dass die Angriffskomplexität niedrig ist. Laut den Sicherheitsforscher*innen von Zero Day Initiative wird das Risiko durch fehlerhafte Analysen von RTF-Dateien (Rich Text Format) begünstigt. „Das Problem resultiert aus der fehlenden ordnungsgemäßen Validierung der vom Benutzer bereitgestellten Daten, was zu einer Speicherbeschädigung führen kann“, heißt es in ihrem Bericht. Betroffen sind zahlreiche Systeme, darunter alle Versionen von Windows 10, Windows 11 und mehrere Generationen von Windows Server.

Lesetipp: Windows 11 verärgert Nutzer: Diese Benachrichtigung lässt Computer abstürzen

Patch oder Workaround empfohlen

Obwohl bisher keine aktiven Angriffe auf diese Schwachstelle bekannt sind, wird eine künftige Ausnutzung als sehr wahrscheinlich eingeschätzt. Deshalb hat Microsoft schnelle Maßnahmen ergriffen. Das Unternehmen hat am Patchday im Januar Patches veröffentlicht, die die Lücke schließen sollen. Falls ein Update sofort nicht möglich ist, rät Microsoft, E-Mails in Outlook ausschließlich im Nur-Text-Format anzeigen zu lassen. Das reduziert die Darstellungsmöglichkeiten von Nachrichten, bietet jedoch vorübergehenden Schutz.

Die Sicherheitslücke ist nur eine von 161 Schwachstellen, die Microsoft im Januar-Patchday behoben hat – ein Rekord seit 2017, wie die Zero Day Initative erklärt. Der Großteil der Probleme betrifft dabei Windows, Office und andere Produkte wie Azure oder Bitlocker.

Quellen: Golem, Zero Day Initaitive

Seit dem 24. Februar 2022 herrscht Krieg in der Ukraine. Hier kannst du den Betroffenen helfen.