Microsoft Patchday im August

August 24, 2018 12:36 pm Veröffentlicht von

Patchday: Microsoft schließt 60 Sicherheitslücken

Auch diesen Monat hat Microsoft bei seinem Patchday wieder zahlreiche Sicherheitslücken geschlossen. Neben der Beseitigung einer zero-day-Lücke des Internet Explorers, bietet Microsoft auch einen Fix für Foreshadow an. In unserem Artikel fassen wir die wichtigsten Updates für Sie zusammen.

 

Was ist kritisch?

Von den 60 geschlossenen Lücken werden beim Patchday diesen Monat 20 als kritisch eingestuft. Diese kritischen Sicherheitslücken stecken in Windows, Exchange und SQL-Server sowie in den hauseigenen Browsern Edge und Internet Explorer. Eine Lücke im IE wird bereits von Cyberkriminellen für Angriffe genutzt sowie eine Schwachstelle in der Windows-10-Shell.

 

Edge und Internet Explorer

Im Browser Edge werden 16 Sicherheitslücken geschlossen. Ganze zehn davon werden als kritisch eingestuft, wobei die meisten davon wieder in der Scripting Engine Javascript stecken.

Beim Patchday diesen Monat werden im Internet Explorer mit dem kumulativen Sicherheitsupdate in den Versionen 9 bis 11 insgesamt elf Schwachstellen beseitigt. Sechs der Schwachstellen sind kritisch und betreffen auch hier teilweise das Javascript. Die Schwachstelle mit der Kennung CVE-2018-8373 war im Vorfeld schon bekannt und wird tatsächlich auch von Cyberkriminellen für Angriffe ausgenutzt.

Über Social-Engineering-Methoden könnte sich ein Nutzer dazu bringen lassen, eine infizierte HTML-Datei herunterzuladen. Auf diese Weise kann ein Sicherheitsmechanismus umgangen und Schadcode heruntergeladen werden. Über diesen lassen sich dann lokal auf dem Rechner gespeicherte Dateien stehlen.

 

Updates für Microsoft Office

In seinen Office-Anwendungen schließt Microsoft bei diesem Patchday sechs Sicherheitslücken. Alle sechs Lücken haben eine hohe Risikoeinstufung. Wieder ermöglichen diese Lücken Unbefugten das Einschleusen und Ausführen von Code über präparierte Dokumente. Zwei dieser Lücken stecken in Excel, die dritte betrifft PowerPoint 2010.

 

Exchange und SQL-Server

Im Exchange Server stecken diesen Monat zwei Lücken. Von diesen beiden Sicherheitslücken wird CVE-2018-8302 als kritisch eingestuft und betrifft die Versionen 2010, 2013 und 2016. Auch hier wird einem Angreifer das Einschleusen und Ausführen von Code ermöglicht. Der Angriffsweg ist dabei eine entsprechend vorbereitete Email. Die andere Schwachstelle (CVE-2018-8374) ermöglicht gezielte Profiländerungen. Ein angemeldeter Nutzer mit einer speziellen Anfrage Profile von anderen Nutzern verändern.

Eine kritische Schwachstelle (CVE-2018-8273) betrifft SQL-Server 2016 und 2017, inklusive Linux.  Auch hier kann beliebig Code eingeschleust werden und mit Rechten des SQL-Kontos den Datenbankdienst von SQL ausführen.

 

Windows-Updates

Der größte Anteil Sicherheitslücken verteilt sich über die verschiedenen, noch von Microsoft unterstützten Windows-Versionen. Besonders erwähnenswert ist dabei die Sicherheitslücke CVE-2018-8414. Diese betrifft die Windows-10-Shell und den Windows Server Core. Diese Lücke basiert auf ungültigen Dateipfaden und wird auch schon von Hackern ausgenutzt. Als möglichen Angriffsweg wird der Acrobat Reader von Adobe genannt. Für diesen stellt Adobe bereits Updates zur Verfügung.

 

Datenleck im .NET Framework

In den Versionen 2.0 bis 4.7.2. des .NET Frameworks entfernt Microsoft ein Datenleck.
In Netzwerkumgebungen mit mehreren Mandanten und Netzwerkverbindungen mit hoher Auslastung besteht dabei die Möglichkeit, mehrere Netzwerkströme zu einem zusammenzufassen. Gelingt es einem Angreifer, in solch einer Umgebung, Zugriff zu einem der Mandanten zu bekommen, könnte er damit auch die Daten anderer Mandanten offenlegen.

 

Foreshadow-Fix

Gegen die Intel-Prozessor-Probleme Foreshadow bzw. L1TF (CVE-2018-3620 / CVE-2018-3646) bietet Microsoft einen ersten Fix an. Dabei sollen die Anwender sicherstellen, dass mit den entsprechenden Registry-Einstellungen die früheren Schutzmaßnahmen „Spectre Variant 2“ und „Meltdown-Schwachstellen“ aktiv sind.

 

Flash-Player und Windows-Tool

Natürlich ist auch wieder ein Update für den Adobe Flash Player mit von der Partie. Im Flash Player werden fünf Schwachstellen beseitigt, von denen keine als kritisch eingestuft wird.

Dazu gibt es auch diesen Monat die Updates für das Windows-Tool zum Entfernen bösartiger Software.

 

Brauchen Sie Hilfe bei Updates?

Regelmäßige Updates sind sehr wichtig. Das zeigen besonders Fälle wie die Schwachstellen im Internet Explorer und der Windows-10-Shell, die ja bereits für Angriffe genutzt werden.
Deswegen sollten Sie diese Updates so schnell wie möglich installieren.

Dabei ist nicht auszuschließen, dass es zu Kompatibilitätsproblemen kommen kann. Besonders CRM-Programme haben öfters mal ihre Schwierigkeiten mit neuen Windows-Updates. Sollten Sie also nicht über eigene IT-Fachkräfte verfügen, die sich um Updates und das Beheben möglicher damit verbundenen Probleme kümmern können, dann kommt für Sie und Ihr Unternehmen vielleicht ein externer IT-Dienstleister in Frage.

 

Mit Kastl & Rieter „up to date“

Wir helfen Ihnen gerne beim Installieren von neuen Updates und Sicherheitspatches.
Aber das ist natürlich nicht alles, was wir für Sie tun können. Bei uns gibt es sichere und zuverlässige IT in all ihren Facetten. Dazu gehören neben Sicherheitslösungen und Einrichtung von Netzwerken auch die regelmäßige Betreuung durch Dokumentation, Back-Ups und Wartung – alles aus einer Hand!

Informieren Sie sich ausgiebiger über unsere Leistungen und Serviceangebote und finden Sie heraus, was der Kastl & Rieter IT-Service alles für Sie tun kann!

Rufen Sie uns an ( 0221 / 630 6151 60 ) und vereinbaren Sie einen Beratungstermin oder schreiben Sie uns über das Kontaktformular.

Laden Sie sich gerne unsere Checkliste herunter, um sich einen ersten Überblick über Ihre IT-Situation zu verschaffen und zögern Sie nicht von unserer kostenlosen Netzwerkanalyse zu profitieren!

 

Wir freuen uns auf Sie

Ihr Kastl & Rieter IT-Service

 

 

Quellen:

https://www.pcwelt.de/a/microsoft-stopft-0-day-luecke-im-ie,3451986

https://www.teltarif.de/sicherheit-update-patch-microsoft-windows/news/73635.html

https://www.pcwelt.de/a/microsoft-edge-luecke-erlaubt-diebstahl-von-dateien,3451838