Z390 Cashback

Microsoft hat im November 75 Sicherheitslücken gestopft

Meldung von doelf, Mittwoch der 13.11.2019, 15:35:22 Uhr

Gestern hatte Microsoft seinen November-Patch-Day abgehalten und dabei 75 Sicherheitslücken in Windows, Edge und ChakraCore, dem Internet Explorer, Office samt Office Services und Web Apps, Azure Stack, Visual Studio, dem Exchange Server und nicht näher benannter Open Source Software geschlossen. 13 Fehler wurden als kritisch eingestuft, die übrigen sind laut Microsoft durch die Bank hochgefährlich. Unter den kritischen Bugs befindet sich auch eine 0-Day-Lücke (CVE-2019-1429), welche den Webbrowser Edge bedroht.

Wer heutzutage erfahren will, welche Sicherheitslücken Microsoft beseitigt hat, muss bei Talos, den Sicherheitsspezialisten von Cisco Systems, vorbeischauen. Microsofts eigener Security Update Guide liefert nämlich auch weiterhin eine völlig unübersichtliche Auflistung und taugt nur zur gezielten Suche nach Informationen über spezielle Updates oder Produkte. Es ist nicht einmal möglich, jene Sicherheitslücken, welche bereits aktiv angegriffen werden, herauszufiltern.

Fünf kritische Lücken bedrohen Microsofts Webbrowser
Drei kritische Speicherfehler in der Scripting-Engine des Webbrowsers Edge (CVE-2019-1426, CVE-2019-1427, CVE-2019-1428) ermöglichen Angreifern das Einschleusen von Schadcode beim Aufruf einer manipulierten Webseite. Microsoft hält die Ausnutzung dieser Schwachstellen allerdings für weniger wahrscheinlich. Anders sieht es bei CVE-2019-1429 aus, denn dieser Speicherfehler in der Scripting-Engine von Edge wird bereits angegriffen! Die Internet Explorer 9 bis 11 sind ebenfalls verwundbar, hier dient eine Lücke in VBScript (CVE-2019-1390) als Einfallstor. In Redmond erwartet man, dass Kriminelle diesen Fehler schon bald ausnutzen werden.

Hyper-V-Host gleich vierfach in Gefahr
Vier der kritischen Sicherheitslücken betreffen Hyper-V (CVE-2019-0721, CVE-2019-1389, CVE-2019-1397 und CVE-2019-1398). Sie ermöglichen es Nutzern des Gastsystems, beliebigen Code auf dem Host auszuführen. Hierzu muss man auf dem Gast lediglich eine speziell präparierte Applikation starten, deren Eingaben vom Host ohne ausreichende Prüfung verarbeitet werden. Nur in einem Fall geht Microsoft tiefer ins Detail und nennt den virtuellen Netzwerk-Switch als Problemstelle. Keine dieser Sicherheitslücken wurde bisher öffentlich dokumentiert oder angegriffen und Microsoft hält baldige Angriffe auch für weniger wahrscheinlich.

Exchange, OpenType, QuickTime und Font-Bibliothek
Ein Fehler in der Deserialisierung von Metadaten über PowerShell (cmdlets) bedroht Microsoft Exchange (CVE-2019-1373), zudem lässt sich Windows mit Hilfe speziell präparierter OpenType-Schriftarten (CVE-2019-1419) und manipulierter QuickTime-Inhalte (CVE-2019-1430) Schadcode unterschieben. Darüber hinaus stolpert die Font-Bibliothek von Windows 7 und Server 2008/2008 R2 über eingebettete Schriftarten. Für all diese kritischen Schwachstellen erwartet Microsoft in näherer Zukunft keine Angriffe, obwohl sich die drei letztgenannten auch über Webseiten bzw. bösartige Dokumente ansprechen lassen.

Diese Werbefläche wurde deaktiviert. Damit geht Au-Ja.de eine wichtige Einnahmequelle verloren.

Werbung erlauben ]