Microsoft zieht Fix für Outlook-Bug von Dezember 2023-Updates wieder zurück

[English]Ein Update vom 12. Dezember 2023 für Office 365 hat Benutzer von Outlook durch eine Sicherheitswarnung aufgeschreckt, wenn sie versuchen, eine Kalenderdatei (.ics) zu öffnen. Dann hatte Microsoft einen Fix für diese Problematik entwickelt, der im Beta-Kanal getestet und Ende April 2024 sowie zum Patchday im Juni 2024 an Microsoft 365-App-Nutzer ausgerollt werden sollte. Dieser Fix wurde nun aber wieder zurückgezogen.

Worum geht es?

Ein Benutzer beschreibt im Microsoft Answers-Forum im Post How can I avoid Outlook's security warning on a .ics file?, dass ihm beim Öffnen von Kalenderdateien (.ics) mit Termineinträgen für einen Kalender in Outlook unter Windows folgende Warnung angezeigt wird.

Outlook erzeugt die Sicherheitswarnung und schreibt in einem Dialogfeld, dass Microsoft Office ein potentielles Sicherheitsproblem festgestellt habe, weil der Pfad, aus der die .ics-Datei geladen wurde, unsicher sei. Das Verhalten wurde durch ein Sicherheitsupdate vom 12. Dezember 2023 für Office getriggert, wo eine Schwachstelle geschlossen wurde. Informationen zu dieser Schwachstelle finden sich unter CVE-2023-35636. Ich hatte diesen Sachverhalt im Februar 2024 im Blog-Beitrag Outlook: Update von Dezember 2023 triggert .ics-Sicherheitswarnung bereits aufgegriffen.

Anfang April 2024 gab es dann die Meldung, dass Microsoft einen Fix für dieses Problem entwickelt habe (siehe meinen Blog-Beitrag Microsoft fixt Outlook-Bug von Dezember 2023-Update). Der Fix war bereits im im Beta-Kanal im Test und sollte Ende April 2024 sowie zum Patchday im Juni 2024 an Microsoft 365-App-Nutzer ausgerollt werden. Das wird nun aber nichts.

Fix für ICS-Fehler in Outlook zurückgezogen

Nun hat Microsoft den Support-Beitrag Outlook prompts security notice opening .ICS files after installing protections for Microsoft Outlook Information Disclosure Vulnerability released: Dec 12, 2023 zum 23. April 2024 aktualisiert (den Kollegen ist es hier aufgefallen). Dort steht nun folgendes:

The Outlook Team found issues with the fix while it was being tested in the Insider channels. Currently the fix has been disabled and will be re-enabled after some modifications. We will update this topic as soon as the fix is available again for testing.

Das Outlook-Team hat beim Testen in den Insider-Kanälen Probleme mit dem Fix festgestellt und diese Korrektur wieder deaktiviert. Man arbeitet weiter an diesem Fix und will diesen nach einigen Änderungen wieder aktivieren. Microsoft will zu gegebener Zeit über den Fortschritt informieren. Bis zu diesem Zeitpunkt hilft nur ein Workaround, mit dem die Warnung per Registrierungseingriff deaktiviert werden kann. Der Eingriff ist im Support-Beitrag beschrieben.