Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die IT-Bedrohungslage auf die Warnstufe „Gelb" hochgestuft. Grund dafür ist eine neu entdeckte, hochkritische Sicherheitslücke in Microsofts Windows Object Linking and Embedding (OLE)-Technologie, die vor allem Nutzer von Microsoft Outlook betrifft.
Hintergrund der SchwachstelleDie Sicherheitslücke mit der Bezeichnung CVE-2025-21298 wurde von Sicherheitsforschern entdeckt und mit einem CVSS-Score von 9.8 als äußerst kritisch eingestuft. Die Schwachstelle ermöglicht es Angreifern, Schadcode auszuführen, indem sie gezielt manipulierte E-Mails versenden. Besonders alarmierend ist dabei, dass allein das Öffnen oder die Voransicht einer solchen E-Mail im Microsoft Outlook-Client ausreicht, um den Angriff auszulösen. Eine aktive Interaktion durch den Nutzer ist dabei nicht erforderlich.
Microsoft stuft das Risiko als akut ein, da mit kurzfristigen Angriffen zu rechnen ist. Zwar wurden bislang noch keine Exploits in freier Wildbahn gesichtet, doch angesichts der Schwere der Sicherheitslücke gehen Experten davon aus, dass Cyberkriminelle diese schnell für gezielte Angriffe nutzen könnten.
Empfohlene SicherheitsmaßnahmenDas BSI rät dringend dazu, die von Microsoft bereitgestellten Sicherheitsupdates sofort zu installieren. Sollte dies kurzfristig nicht möglich sein, werden folgende temporäre Schutzmaßnahmen empfohlen:
- Deaktivierung der HTML-Darstellung in Microsoft Outlook: Durch die Konfiguration von E-Mails auf „Nur-Text-Ansicht" kann das Risiko erheblich reduziert werden, da schädliche Inhalte nicht automatisch ausgeführt werden.
- Einschränkung von OLE-Funktionalitäten: Durch Gruppenrichtlinien können bestimmte OLE-Objekte deaktiviert werden, um potenzielle Angriffspunkte zu minimieren.
- Netzwerksegmentierung und zusätzliche Sicherheitsfilter: Eine stärkere Absicherung durch Firewalls und E-Mail-Security-Lösungen kann verhindern, dass bösartige E-Mails überhaupt zugestellt werden.
Neben der Schwachstelle CVE-2025-21298 wurden auch andere Sicherheitslücken identifiziert und gepatcht:
- Windows Remote Desktop Service (CVE-2025-21309): Eine ebenfalls kritische Schwachstelle, die Angriffe auf Remote-Desktop-Umgebungen ermöglicht.
- Microsoft Office-Komponenten: Mehrere Sicherheitslücken in Word, Excel und PowerPoint wurden behoben, die ebenfalls zur unautorisierten Codeausführung missbraucht werden könnten.
Die Bedrohungslage durch CVE-2025-21298 ist äußerst ernst zu nehmen, da sie eine besonders niedrige Angriffshürde aufweist. Nutzer und IT-Verantwortliche sollten umgehend handeln, um ihre Systeme abzusichern und mögliche Sicherheitslücken zu schließen. Es wird empfohlen, stets die aktuellen Sicherheitsempfehlungen von Microsoft sowie des BSI zu verfolgen, um die IT-Infrastruktur bestmöglich zu schützen.
Nachtrag: Windows OLE (Object Linking and Embedding) ist eine Technologie von Microsoft, die es Anwendungen ermöglicht, Daten und Objekte nahtlos zu verknüpfen oder einzubetten. Sie wurde entwickelt, um verschiedene Programme miteinander zu integrieren, indem sie es beispielsweise erlauben, Inhalte aus einer Anwendung in eine andere einzufügen und dort zu bearbeiten.
Ein klassisches Beispiel für OLE ist das Einbetten einer Excel-Tabelle in ein Word-Dokument. Die Tabelle kann entweder statisch eingefügt oder als verknüpftes Objekt eingebunden werden, sodass Änderungen in Excel automatisch auch im Word-Dokument aktualisiert werden.
Allerdings stellt OLE auch ein Sicherheitsrisiko dar, da Angreifer diese Technologie nutzen können, um schädlichen Code in Dokumente oder E-Mails einzubetten. Dies kann zu automatischer Codeausführung ohne Zutun des Nutzers führen, wie es bei der kritischen Sicherheitslücke CVE-2025-21298 der Fall ist.
Ähnliche Beiträge: