Patchday: Microsoft kümmert sich um mehr als 60 Lücken in Windows & Co.
Über Windows Update stehen Sicherheitsptaches bereit. Unter anderem schließen diese eine Lücke, über die Angreifer ein Wireless Keyboard in einen Keylogger verwandeln könnten.
Am Patchday im April veröffentlicht Micosoft Updates für mehr als 60 Schwachstellen in Azure, Edge, Hyper-V, Internet Explorer, Office, Scripting Engine und Windows. Davon sind 25 Lücken mit dem Bedrohungsgrad "kritisch" eingestuft. Der Großteil der restlichen Schwachstellen ist mit "wichtig" gekennzeichnet.
Gefährliche Lücken
Am kritischsten gelten diverse Lücken in der Chakra Scripting Engine, die unter anderem mit dem Webbrowser Edge zusammenarbeitet. Für einen erfolgreichen Übergriff soll der alleinige Besuch einer präparierten Webseite ausreichen, warnt Microsoft. Anschließend sollen Angreifer über die gleichen Nutzerrechte wie das Opfer verfügen und Schadcode ausführen können. Hat das Opfer Admin-Rechte, gilt ein Computer bei diesem Angriff als kompromittiert. Auch der Internet Explorer ist für ähnliche Angriff anfällig.
Die Schriften-Bibliothek von Windows ist für einen Remote-Code-Execution-Angriff empfänglich. Angreifer sollen die Lücke über mehrere Wege ausnutzen können. So soll es ausreichen, wenn ein Opfer ein speziell vorbereitetes Dokument öffnet. Ist eine Attacke erfolgreich, könnte ein Angreifer die volle Kontrolle über einen Computer übernehmen.
Im Zuge des Patchdays weist Microsoft abermals auf eine kritische Lücke in der Malware Protection Engine hin, die unter anderem bei Windows Defender zum Einsatz kommt. Der Sicherheitspatch wurde bereits vergangene Woche automatisch verteilt. Die kritischen Flash-Updates erhalten Edge und Internet Explorer 11 unter Windows 8.1 und 10 automatisch.
Keyboard als Keylogger
Microsoft verteilt zudem ein Hardware-Sicherheitsupdate für das Wireless Keyboard 850. Mit viel Aufwand sollen Angreifer einen AES-Schlüssel extrahieren und wiederverwenden können. Das führt dazu, dass sie Tastatureingaben mitschneiden und sogar manipulieren können.
In Microsoft Share Point Server klafft eine Lücke, über die Angreifer auf eigentlich abgeschottete Informationen zugreifen könnten. Weitere als "wichtig" eingestufte Lücken finden sich in Excel und dem Windows-Kernel.
Microsoft stellt Informationen über die gepatchten Sicherheitslücken im Security Update Guide bereit. Allerdings ist die Auflistung alles andere als übersichtlich. Eine viel besser aufbereitete Liste findet sich zum Beispiel im Patchday-Blog-Artikel von Cisco Talos. (des)
