Patchday: Von Angreifern präparierte Websites könnten Windows gefährlich werden
Microsoft hat Sicherheitsupdates für mehrere Produkte veröffentlicht und über 120 Sicherheitslücken geschlossen.
Unter anderem Exchange Server und Windows sind mit vergleichsweise wenig Aufwand attackierbar. Sind Attacken erfolgreich, kann Schadcode auf Computer gelangen. Über 20 Sicherheitslücken sind mit dem Bedrohungsgrad "kritisch" eingestuft.
Microsoft zufolge wird derzeit keine Schwachstelle aktiv ausgenutzt. Das kann sich aber schnell ändern. Windows-Nutzer sollten sicherstellen, dass Windows Update aktiv ist und die verfügbaren Sicherheitpatches automatisch installiert hat.
Gefährliche Mails und Internetseiten
Als gefährlichste gelten verschiedene Lücken in den Webbrowsern Edge und Internet Explorer. Hier muss ein Angreifer Opfer lediglich auf eine präparierte Website locken. Allein der Besuch löst einen Speicherfehler aus. So etwas führt in der Regel dazu, dass Angreifer Schadcode auf Computer schieben und ausführen können.
Admins von Exchange Server 2016 und 2019 sollten die kritische Lücke mit der Kennung CVE-2020-16875 im Auge behalten und zeitnah patchen. Hier soll es für die Ausführung von Schadcode genügen, wenn ein Angreifer eine manipulierte Mail an einen verwundbaren Server schickt.
Als kritisch gilt auch eine Schwachstelle (CVE-2020-1210) in SharePoint Server. Aufgrund einer mangelnden Überprüfung könnte ein Angreifer eine präparierte Datei hochladen und im Anschluss Code ausführen.
Auch Microsoft COM könnte sich an einer von einem Angreifer erstellten Datei oder Website mit JavaScript verschlucken und Schadcode passieren lassen. Die Lücke (CVE-2020-0922) gilt ebenfalls als kritisch.
Office-Schwachstellen
Microsoft Excel und Word sind ebenfalls verwundbar (CVE-2020-1193, CVE-2020-1218, CVE-2020-1332, CVE-2020-1594). Hier müsste ein Angreifer Opfer mit einer Fake-Mail dazu bringen, einen speziell vorbereiteten Dateianhang zu öffnen. Das löst einen Speicherfehler aus, was wiederum die Ausführung von Schadcode ermöglicht.
Weitere Informationen zu den Lücken stellt Microsoft in seinem Security Update Guide bereit. (des)
