Patchday: Zero-Day-Fix für Windows, kritische Exchange-Lücke

Inhaltsverzeichnis

Pünktlich zum zweiten Dienstag im Monat hat Microsoft knapp 50 Sicherheitslücken in vielen seiner Software-Komponenten geschlossen. Diesmal gibt es Patches für Windows, Office, Internet Explorer, Edge, SQL Server Management Studio, den Exchange Server und mehrere Windows- und Browser-Komponenten. Teile von Azure IoT erhalten ebenfalls Updates. Ein Dutzend der Sicherheitspatches gelten als kritisch. Besonders schwer wiegt eine Rechteausweitungslücke in Windows, die bereits bei ihrer Entdeckung für Angriffe ausgenutzt wurde (ein sogenannter Zero Day).

Zero Day in Windows wird für Angriffe missbraucht

Die Zero-Day-Lücke (CVE-2018-8453) in der Win32k-Komponente des Grafikinterfaces GDI kann von einem Angreifer, der bereits ins System eingedrungen ist, dazu missbraucht werden, Schadcode mit Systemrechten auszuführen. Das gäbe ihm Zugriff auf alle Daten des Systems und die Möglichkeit, Benutzerkonten zu manipulieren. Informationen des AV-Herstellers Kaspersky zufolge wurde die Zero-Day-Lücke von einer Hackergruppe verwendet, um äußerst zielgerichtete Angriffe auszuführen. Kaspersky verfolgt diese APT-Gruppe unter dem Namen FruityArmor seit einigen Jahren und hatte die benannte Lücke an Microsoft gemeldet. Die Sicherheitsfirma will zeitnah einen detaillierten Bericht zu der Entdeckung vorlegen.

Acht Jahre alte kritische Lücke in Exchange

Die Lücke im Exchange-Server ist ebenfalls auffällig. Hierbei handelt es sich um ein Sicherheitsproblem (CVE-2010-3190), das Microsoft bereits im Jahr 2010 behoben hatte – damals allerdings nicht in Exchange. Über das Laden manipulierter DLL-Dateien kann ein Angreifer hier aus der Ferne beliebigen Schadcode ausführen. Alle Versionen des Exchange-Servers sind laut Microsoft betroffen. Exchange Server 2016 sollte auf das kumulative Update 11 aktualisiert werden. Administratoren, die eine andere Version von Exchange einsetzen, sollten laut Microsoft unbedingt ein Update für Visual Studio 2010 installieren. Dieses Vorgehen beschreiben die Entwickler im Sicherheitshinweis MS11-025.

Liste der Updates und Verteilungsmethoden

Windows-Anwender können die Sicherheitsupdates wie gewohnt über Microsoft Update installieren, wenn dies nicht bereits automatisch geschehen ist. Für Windows 10 verteilt Microsoft die Patches wie immer als kumulatives Update und behebt dabei auch einige nicht-sicherheitsrelevante Probleme. Inwieweit das momentan durch die Probleme mit dem 1809-Update zum Stocken kommt, ist allerdings zu diesem Zeitpunkt noch unklar. Microsoft stellt Informationen über die gepatchten Sicherheitslücken im Security Update Guide bereit. Allerdings ist die Auflistung alles andere als übersichtlich. Eine viel besser aufbereitete Liste findet sich zum Beispiel im Patchday-Blog-Artikel von HPs Zero Day Initiative. (fab)