Werbung
Amazon Prime Student - 12 Monaten kostenlos ausprobieren, danach 34 Euro pro Jahr oder monatlich 3,99 Euro


Microsoft hat im März 116 Sicherheitslücken gestopft

Meldung von doelf, Mittwoch der 11.03.2020, 22:55:29 Uhr

Microsoft hat gestern 116 Sicherheitslücken in Windows, dem Internet Explorer, Edge (EdgeHTML/Chromium) nebst ChakraCore, Office samt Office Services und Web Apps, Visual Studio, Azure samt DevOps, dem Windows Defender, Dynamics, dem Exchange Server und nicht näher benannter Open-Source-Software geschlossen. Auch für Windows 7 und Server 2008 R2 gibt es ein neues Monatliches Rollup (KB4540688), doch dieses lässt sich nur installieren, wenn man einen kostenpflichtigen Support-Vertrag mit Microsoft geschlossen hat - oder wenn man dessen Prüfung aushebelt.

Das Projekt BypassESU von abbodi trickst Microsofts Prüfung nämlich aus, so dass sich die kostenpflichtigen "Extended Security Updates" (ESU) auf jedem Windows 7 installieren lassen. Allerdings muss diese Prüfung jeden Monat aufs Neue umschifft werden und auch hinter die Legalität eines solchen Vorgehens möchten wir einige Fragezeichen setzen. Andererseits kann man zumindest Privatnutzern nur bedingt vorwerfen, dass sie sich hierbei eine Leistung erschleichen, da Microsoft gar keine ESU-Verträge für Privatkunden anbietet. Sinnvoller erscheint uns allerdings der Umstieg auf Windows 10, der nach wie vor kostenlos funktioniert.

Wer heutzutage erfahren will, welche Sicherheitslücken Microsoft beseitigt hat, muss bei Talos, den Sicherheitsspezialisten von Cisco Systems, vorbeischauen. Microsofts eigener Security Update Guide liefert nämlich auch weiterhin eine völlig unübersichtliche Auflistung und taugt nur zur gezielten Suche nach Informationen über spezielle Updates oder Produkte. Es ist nicht einmal möglich, jene Sicherheitslücken, welche bereits aktiv angegriffen werden, herauszufiltern.

17 kritische Lücken in Edge und Internet Explorer
Microsoft bewertet 24 Schwachstellen als kritisch, von 91 geht eine hohe Gefahr aus und eine betrachtet man in Redmond als moderates Risiko. Zehn kritische Speicherfehler (CVE-2020-0811, CVE-2020-0812, CVE-2020-0823, CVE-2020-0825, CVE-2020-0826, CVE-2020-0827, CVE-2020-0828, CVE-2020-0829, CVE-2020-0831 und CVE-2020-0848) wurden in der JavaScript-Engine ChakraCore entdeckt. Sie betreffen Edge (EdgeHTML) und ermöglichen das Einschleusen von Schadcode, wobei Microsoft Angriffe für weniger wahrscheinlich hält. Gleiches gilt für eine Speichermanipulation im Edge-Browser selbst (CVE-2020-0816). Die Speicherfehler CVE-2020-0768 und CVE-2020-0830 betreffen neben Edge (EdgeHTML) auch den Internet Explorer 11, in beiden Fällen soll eine Ausnutzung weniger wahrscheinlich sein. Anders sieht es bei zwei weiteren Lücken (CVE-2020-0832 und CVE-2020-0833) des Typs Remote Code Execution aus, welche man in der Scripting-Engine des Internet Explorers entdeckt hat, denn dort muss man zeitnah mit Angriffen rechnen! Gleiches gilt für einen kritischen Speicherfehler in der VBScript-Engine des Internet Explorers (CVE-2020-0847) sowie einen weiteren im Browser selbst (CVE-2020-0824).

Windows Media Foundation, GDI+ und .LNK-Dateien
Windows Media Foundation versagt gleich viermal beim Umgang mit Objekten im Arbeitsspeicher (CVE-2020-0801, CVE-2020-0807, CVE-2020-0809 und CVE-2020-0869), so dass man Windows 10 und Windows Server über präparierte Dokumente oder Webseiten Schadcode unterschieben kann. Dass dies in nächster Zeit geschehen wird, ist laut Microsoft allerdings weniger wahrscheinlich. Ähnlich verhält es sich bei zwei Speichermanipulationen im Graphics Device Interface (GDI+), wobei diese beiden Schwachstellen (CVE-2020-0881 und CVE-2020-0883) neben Windows 10 auch die Versionen 7 und 8.1 sowie alle Server ab 2008 inklusive der Core-Installationen gefährden. Bleibt noch ein Angriff über .LNK-Dateien (CVE-2020-0684), welcher ebenfalls bei allen Windows-Versionen funktioniert, die .LNK-Datei befindet sich dabei auf einem externen Laufwerk oder einer Netzwerkfreigabe. Auch hier hält Microsoft baldige Angriffe für weniger wahrscheinlich.

Diese Werbefläche wurde deaktiviert. Damit geht Au-Ja.de eine wichtige Einnahmequelle verloren.

Werbung erlauben ]