Werbung
Restposten Angebote von Amazon: Computer und Zubehör, Baumarkt, Garten, Sport und Freizeit


Microsoft hat im Oktober 88 Schwachstellen gestopft

Meldung von doelf, Dienstag der 13.10.2020, 21:24:06 Uhr

Microsoft hat heute 88 Sicherheitslücken in Windows samt Codecs-Bibliothek, Office samt Office Services und Web Apps, der JET Database Engine, dem Exchange Server, Visual Studio und dem .NET-Framework, PowerShellGet, Dynamics, Azure Functions und Azure Sphere geschlossen. Zwölf Schwachstellen gelten als kritisch, eine als moderat und die übrigen stellen ausnahmslos eine hohe Gefahr dar. Dazu kommt ein kritisches Update für Adobes Flash-Player.

In Microsofts Security Update Guide erstrecken sich die neu veröffentlichten Patches über 1.838 Einträge. Selbst wenn man sich auf die kritischen Korrekturen beschränkt, bleiben noch 241 Einträge übrig. Wir haben diese 241 Einträge durchgearbeitet und konnten sie zu 12 Sicherheitslücken zusammenfassen:

  • CVE-2020-16891: Aufgrund einer unzureichenden Überprüfung von Nutzereingaben auf einem Gastsystem können authentifizierte Benutzer dem Hyper-V-Host eigenen Code unterschieben. Betroffen sind alle 64-Bit-Windows-Versionen inklusive der Server. Der Fehler wurde bisher nicht öffentlich dokumentiert und wird auch noch nicht angegriffen. Microsoft hält Angriffe zudem für weniger wahrscheinlich.
  • CVE-2020-16898: Der TCP/IP-Stack von Windows 10 Version 1709 bis 2004 sowie die entsprechenden Server-Varianten stolpert über manipulierte ICMPv6-Router-Advertisement-Pakete, weshalb das Betriebssystem in der Folge Schadcode ausführt. Diese Schwachstelle ist äußerst attraktiv und dürfte schon bald Angreifer anlocken. Bisher wurde sie aber noch nicht öffentlich dokumentiert oder gar attackiert.
  • CVE-2020-16911: Ein Speicherfehler im Graphics Device Interface (GDI) bedroht alle Windows-Versionen von 8.1 bis 10 sowie die dazugehörigen Server-Ausgaben. Als Einfallstor können sowohl Webseiten als auch präparierte Dokumente dienen. In Redmond geht man allerdings nicht von zeitnahen Angriffen aus, sondern wertet solche als unwahrscheinlich.
  • CVE-2020-16915: Ähnlich sieht es für einen Speicherfehler in Media Foundation aus. Von diesem sind allerdings nur Windows 10 Version 1607 bis 2004 sowie die von diesen abstammenden Server betroffen. Der Fehler wurde bisher nicht öffentlich dokumentiert und wird auch noch nicht angegriffen. Und laut Microsoft soll das auch so bleiben.
  • CVE-2020-16923: Auch ein Speicherfehler in der Grafikkomponente aller Windows Versionen lässt sich dazu missbrauchen, einem PC Schadcode unterzuschieben. Dies funktioniert allerdings nur über entsprechend präparierte Dateien, die der Nutzer öffnen muss. Angriffe oder eine Publikation des Problems wurden noch nicht registriert und sollen auch in Zukunft eher unwahrscheinlich sein.
  • CVE-2020-16947: Outlook versagt ebenfalls bei der Verarbeitung manipulierter Dateien und führt Schadcode im Kontext des aktuellen Benutzers aus. Der Fehler steckt in Outlook 2016, Office 2019 und den Microsoft 365 Apps for Enterprise. Er wurde bisher nicht öffentlich dokumentiert und auch nicht angegriffen. Microsoft hält Angriffe zudem für weniger wahrscheinlich.
  • CVE-2020-16951, CVE-2020-16952: Da SharePoint Foundation 2013 Service Pack 1, SharePoint Enterprise Server 2016 und SharePoint Server 2019 das Quell-Markup von Anwendungspaketen unzureichend prüfen, kann ein Angreifer eigenen Code im Kontext des SharePoint-Applikationspools oder eines SharePoint-Server-Farm-Kontos ausführen. Diese Lücke wurde noch nicht öffentlich dokumentiert oder angegriffen. Microsoft bezeichnet zukünftige Angriffe als weniger wahrscheinlich.
  • CVE-2020-16967, CVE-2020-16968: Das Codec-Paket für Kameras enthält zwei Speicherfehler, die Angreifer über speziell gestaltete Dateien auslösen können, um eigenen Code im Kontext des aktuellen Benutzers auszuführen. Betroffen sind alle Versionen von Windows 10. Bisher wurden diese Fehler weder publiziert noch wird er angegriffen. Auch in diesem Fall erwartet man in Redmond keine Angriffe.
  • CVE-2020-17003: Auch im 3D Viewer, genauer gesagt dessen Base3D-Rendering-Engine steckt ein Speicherfehler, über den Schadcode auf das System gelangen kann. Auch hier gilt: Der Fehler wurde bisher nicht öffentlich dokumentiert, wird noch nicht angegriffen und Microsoft hält Angriffe für weniger wahrscheinlich.
  • ADV200012: Bleibt noch ein Update des Flash-Player, mit dem Adobe eine kritische Null-Zeiger-Dereferenzierung (CVE-2020-9746) behebt. Die Schwachstelle lässt sich als Einfallstor für Schadcode missbrauchen.

Unter den 75 hochgefährlichen Schwachstellen finden sich 37 Rechteausweitungen, 15 Datenlecks, elf Remote-Code-Ausführungen und sechs Ansatzpunkte für Spoofing-Angriffe. Vier Schwachpunkte ermöglichen die DoS-Angriffe (Denial of Service) und drei das Umgehen von Sicherheitsmaßnahmen. Bei dem mittelschweren Fehler handelt es sich um einen DoS-Angriff.

Diese Werbefläche wurde deaktiviert. Damit geht Au-Ja.de eine wichtige Einnahmequelle verloren.

Werbung erlauben ]