Microsoft hat im Juli 130 Schwachstellen gestopft, darunter fünf 0-Day-Lücken

Microsoft hat am Juli-Patchday 130 Sicherheitslücken in Windows, Office, .NET, Visual Studio und Visual Studio Code, ASP.NET, Azure Active Directory, Dynamics, den hauseigenen Media-Wiki-Erweiterungen, den Power Apps, dem Druckertreiber, der Grafikkomponente, Mono Authenticode, Paint 3D, der Rolle DNS-Server und Service Fabric geschlossen. Hinzu kommen eine Sicherheitsempfehlung zur böswilligen Nutzung signierter Treiber und ein Leitfaden zur Behebung der Umgehung von Sicherheitsfunktionen in den EFI-Modulen von Trend Micro. In fünf Fällen wurde eine Ausnutzung von Sicherheitslücken erkannt, es handelt sich somit um 0-Day-Lücken.

Hier die Liste der verwundbaren Windows-Komponenten: Active Directory-Zertifikatdienste, Active Template Library, Admin Center, App Store, Authentifizierungsmethoden, Benutzererfahrungen und Telemetrie im verbundenen Modus, Bereitstellungsdienste, CDP-Benutzerkomponenten, CNG-Schlüsselisolationsdienst, Clip-Dienst, Cluster-Server, CryptoAPI, Defender, Druckerspooler-Komponenten, EFI-Partition, Failovercluster, Fehlerberichterstattung, Geolocationdienst, HTTP.sys, Image Acquisition, Installer, Kernel, Kryptografiedienste, Layer 2 Tunneling-Protokoll, Layer-2 Bridge-Netzwerktreiber, lokale Sicherheitsautorität (LSA), Medien, Medienbibliothek, Message Queuing, Minifiltertreiber für Clouddateien (Cloud Files Mini Filter Driver), MSHTML-Plattform, Netlogon, Netzwerklastenausgleich, NT Betriebssystem-Kernel, ODBC-Treiber, OLE, Online Certificate Status-Protokoll (OCSP)-SnapIn, Partitionsverwaltungstreiber, Peer Name Resolution-Protokoll, PGM, Remotedesktop, Remoteprozeduraufruf, Routing- und RAS-Dienst (RRAS), Server Update Services, SmartScreen, SPNEGO Extended Negotiation, Transaktions-Manager, Treiber des gemeinsamen Protokolldateisystems, Update Orchestrator-Dienst, VOLSNAP.SYS, Volume-Schattenkopie, Win32K und Zertifikate. Seitens Office werden neben Office selbst auch Access, Excel, Outlook und SharePoint aufgeführt.

Betrachten wir nun die fünf 0-Day-Lücken, sortiert nach ihrer CVSS-Einstufung:

• CVE-2023-32049 ‐ Sicherheitsanfälligkeit in Windows SmartScreen bezüglich Umgehung von Sicherheitsfunktionen:
  Wenn es einem Angreifer gelingt, einen Benutzer auf eine speziell gestaltete URL zu locken, kann dieser die Sicherheitsfunktion Windows SmartScreen umgehen und somit Dateien ohne Sicherheitswarnung öffnen. Betroffen sind Windows 10 und 11 sowie Windows Server 2016 bis 2022. Diese Schwachstelle wird bereits ausgenutzt.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Anforderung
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Ja
  • CVSS v3.1: 8,8 (Basis); 8,2 (zeitlich)
• CVE-2023-35311 ‐ Sicherheitsanfälligkeit in Microsoft Outlook bezüglich Umgehung von Sicherheitsfunktionen:
  Wenn es einem Angreifer gelingt, einen Benutzer auf eine speziell gestaltete URL zu locken, kann dieser den Sicherheitshinweis zu Microsoft Outlook umgehen. Die URL muss dabei nicht einmal geöffnet werden, denn bereits die Vorschaufunktion lässt sich kompromittieren. Betroffen sind die Microsoft 365 Apps for Enterprise, Office 2019, Office LTSC 2021 sowie Outlook 2013 und 2016. Auch diese Schwachstelle wird bereits ausgenutzt.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Anforderung
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Ja
  • CVSS v3.1: 8,8 (Basis); 8,2 (zeitlich)
• CVE-2023-36884 ‐ Office and Windows HTML Remote Code Execution Vulnerability:
  Dieser Angriff bedroht nicht nur Office, sondern auch Windows. Er erfolgt über manipulierte Office-Dateien, welche ein lokaler Benutzer öffnen muss. Als anfällig gelten Excel.exe, Graph.exe, MSAccess.exe, MSPub.exe, Powerpnt.exe, Visio.exe, WinProj.exe, WinWord.exe und Wordpad.exe sowie Microsoft bzw. Office 365 Semi-Annual Channel Extended in den Versionen 2208 und 2202. Abgesichert sind die Versionen 2302 und neuer. Aktuell untersucht Microsoft diese Angriffe noch, weshalb es noch an Flicken mangelt. Diese Schwachstelle wurde öffentlich dokumentiert und ausgenutzt.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Hoch
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Anforderung
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Ja
  • CVSS v3.1: 8,3 (Basis); 8,1 (zeitlich)
• CVE-2023-32046 ‐ Sicherheitsanfälligkeit in der Windows MSHTML-Platform bezüglich Rechteerweiterungen:
  Obwohl der Internet Explorer 11 und Edge Legacy auf dem Abstellgleis stehen, werden die zugrunde liegenden MSHTML- und Skriptplattformen weiterhin unterstützt und stellen immer wieder ein Sicherheitsrisiko dar. Diesmal kann sich ein Angreifer die Rechte eines Benutzers verschaffen, sofern es ihm gelingt, diesen zum Öffnen einer bösartigen Datei zu bringen. Betroffen sind Windows 10 und 11 sowie Windows Server 2008 bis 2022. Diese Schwachstelle wird ebenfalls schon ausgenutzt.
  • Angriffsvektor: Lokal
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Anforderung
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Ja
  • CVSS v3.1: 7,8 (Basis); 6,8 (zeitlich)
• CVE-2023-36874 ‐ Sicherheitsanfälligkeit in Windows-Fehlerberichterstattungs-Dienst bezüglich Rechteerweiterungen:
  Angreifer, die über einen lokalen Zugriff auf den Zielcomputer verfügen, können über den Fehlerberichterstattungs-Dienst Administratorrechte erlangen. Die eingeschränkten Berechtigungen, welche normale Benutzede standardmäßig haben, reichen hierfür aus. Betroffen sind Windows 10 und 11 sowie Windows Server 2008 bis 2022. Auch diese Schwachstelle wird bereits ausgenutzt.
  • Angriffsvektor: Lokal
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Niedrig
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Ja
  • CVSS v3.1: 7,8 (Basis); 6,8 (zeitlich)
• ADV230001 ‐ Hinweise zur böswilligen Nutzung signierter Treiber von Microsoft:
  Microsoft wurde am 9. Februar 2023 von Sophos über den Einsatz bösartige Treiber informiert. Mehrere Entwicklerkonten für das Microsoft Partner Center (MPC) hatten zuvor bösartige Treiber einreicht, um eine Microsoft-Signatur zu erhalten. Diese Treiber wurden dann auf bereits kompromittierten Systemen verwendet, um einen dauerhaften Zugriff sicherzustellen. Am 2. März 2023 hat Microsoft Erkennungsfunktionen implementiert, welche die Installation solcher Treiber verhindert. Bereits installierte Treiber lassen sich allerdings nur mit Hilfe von Offlinescans aufspüren. Betroffen sind Windows 10 und 11 sowie Windows Server 2008 bis 2022.

Ebenfalls Beachtung finden sollten fünf besonders schwerwiegende Schwachstellen:

• CVE-2023-32057 ‐ Sicherheitsanfälligkeit in Microsoft Message Queuing bezüglich Remotecodeausführung:
  Wenn der Windows Message Queuing-Dienst aktiviert ist, lässt sich dieser über ein speziell gestaltetes MSMQ-Paket dazu verleiten, Schadcode auszuführen. Standardmäßig ist der Dienst Message Queuing, welcher auf dem TCP-Port 1801 lauscht, nicht aktiv. Betroffen sind Windows 10 und 11 sowie Windows Server 2008 bis 2022. Die Ausnutzung dieser Sicherheitslücke gilt als unwahrscheinlich.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • CVSS v3.1: 9,8 (Basis); 8,5 (zeitlich)
• CVE-2023-35365, CVE-2023-35366 und CVE-2023-35367 ‐ Sicherheitsanfälligkeiten in Windows Routing- und RAS-Dienst (RRAS) bezüglich Remotecodeausführung:
  Diese drei Sicherheitsanfälligkeiten im Windows Routing- und RAS-Dienst (RRAS) lassen sich ohne Berechtigungen oder Nutzerinteraktion über das Netzwerk angreifen. Hierzu schickt der Angreifer dem Zielserver speziell gestaltete Pakete, wobei dieser den enthaltenen Schadcode ausführt. Diese werden nur von Windows-Server-Installationen verarbeitet, auf denen die RRAS-Rolle (Routing and Remote Access Service) installiert und konfiguriert wurde. Obwohl Microsoft nur auf Windows-Servern schreibt, werden Windows 10 und 11 sowie die Windows Server 2008 bis 2022 als betroffen aufgeführt. Eine Ausnutzung der Sicherheitslücken gilt als unwahrscheinlich.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • CVSS v3.1: 9,8 (Basis); 8,5 (zeitlich)
• CVE-2023-33150 ‐ Sicherheitsanfälligkeit in Microsoft Office bezüglich Umgehung von Sicherheitsfunktionen:
  Angreifer können einem Benutzer eine speziell gestaltete Datei unterschieben, über die sie die geschützte Office-Ansicht verlassen können. Der Benutzer muss hierfür die Datei öffnen und die Sicherheitseingabeaufforderungen durchklicken oder die Datei im Anhangsvorschaufenster anzeigen. Das E-Mail-Vorschaufenster ist diesmal kein Angriffsvektor. Application Guard für Office blockt diesen Angriff. Betroffen sind die Microsoft 365 Apps for Enterprise, Office 2019, Office LTSC 2021 und Word 2013 Service Pack 1. Die Ausnutzung dieser Sicherheitslücke gilt als unwahrscheinlich.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Anforderung
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • CVSS v3.1: 9,6 (Basis); 8,3 (zeitlich)