Microsoft hat im August 91 Schwachstellen, darunter sechs 0-Day-Lücken, gestopft

Wir schreiben das Jahr 2024 und haben uns inzwischen daran gewöhnt, dass Microsoft seine monatlichen Sicherheits-Updates voller Bugs auf die Kunden loslässt. In diesem Monat scheitert der Software-Riese sogar an der Formatierung seiner Veröffentlichungshinweise (siehe Bildschirmfoto). Und nein, das ist leider kein Witz. Offenbar erledigt die KI bei Microsoft inzwischen nicht nur die Nachrichtenportale und die Sicherung der kritischen Cloud-Schlüssel, sondern auch die Patch-Entwicklung, die Kompatibilitätstests und die Sicherheitsmeldungen.

Die Sicherheitslücken stecken diesmal in Windows, Office, Edge (Chromium-basiert), .NET und Visual Studio, Azure (inklusive Connected Machine-Agent, CycleCloud, Health Bot, IoT SDK und Stack), dem Bluetooth-Treiber, Copilot Studio, Dynamics, dem Local Security Authority Server (lsasrv), dem Line Printer Daemon-Dienst (LPD), dem Streaming-Dienst, Teams, dem WDAC OLE DB-Anbieter für SQL und dem Reliable Multicast Transport-Treiber (RMCAST). Die Liste der verwundbaren Windows-Komponenten umfasst: App-Installer, Bereitstellungsdienste, Clipboard Virtual Channel-Erweiterung, Compressed Folder, DNS, Druckerspooler-Komponenten, DWM-Kernbibliothek, Erstkonfiguration von Windows-Maschinen, IP Routing Management Snapin, Kerberos, Kernel, Kernelmodustreiber, Layer-2 Bridge-Netzwerktreiber, Mark of the Web (MOTW), Minifiltertreiber für Clouddateien (Cloud Files Mini Filter Driver), Netzwerkadressenübersetzung (NAT), Netzwerkvirtualisierung, NT Betriebssystem-Kernel, NTFS-Dateisystem, Power Dependency Coordinator, Ressourcen-Manager, Routing- und RAS-Dienst (RRAS), Secure Kernelmodus, Security Center, Skripterstellung, SmartScreen, TCP/IP, Transport Security Layer (TLS), Treiber des gemeinsamen Protokolldateisystems, Update Stack, Windows für mobiles Breitband, WLAN Autokonfig-Dienst sowie Zusatzfunktionstreiber für Winsock. Bei Office sind zudem Excel, Outlook, PowerPoint, Project und Visio verwundbar.

Die extrem hohe CVSS-v3.1-Wertung 9,8 kommt in diesem Monat gleich dreimal vor. Microsoft betrachtet eine Sicherheitsanfälligkeit in Windows-TCP/IP bezüglich Remotecodeausführung (CVE-2024-38063) und ein Sicherheitsrisiko durch Remotecodeausführung im Windows Reliable Multicast-Transporttreiber (RMCAST) (CVE-2024-38140) als kritisch, während ein weiteres Sicherheitsrisiko durch Remotecodeausführung im Windows Line Printer Daemon (LPD)-Dienst (CVE-2024-38199) lediglich eine hohe Gefahr darstellen soll. Wir beschränken uns derweil auf die sechs Sicherheitslücken, welche bereits im Vorfeld aktiv ausgenutzt wurden:

• CVE-2024-38189 ‐ Sicherheitsrisiko durch Remotecodeausführung in Microsoft Project:
  Dieser Angriff über eine unzureichende Eingabeprüfung verwendet bösartigen Makro-Code, der in Project-Dateien versteckt wird. Solange das Ausführen von Makros für Dateien aus unsicheren Quellen (auch bekannt als das Internet oder die E-Mail) deaktiviert ist, sollten Nutzer halbwegs sicher sein. Aus diesem Grund erachtet Microsoft diesen Patch auch nur als wichtig. Betroffen sind Project 2016, 2019, LTSC 2021 sowie die Microsoft 365 Apps for Enterprise.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Anforderung
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Ja
  • CVSS v3.1: 8,8 (Basis); 8,2 (zeitlich)
• CVE-2024-38107 ‐ Sicherheitsrisiko durch Rechteerweiterungen im Windows Power Dependency Coordinator:
  Der Zugriff auf eine bereits aus dem Arbeitsspeicher entfernte Ressource ermöglicht es lokalen Angreifern, volle Systemrechte zu erhalten. Nutzen die Angreifer eine zusätzliche Remote-Lücke, um auf das System zu gelangen, ist auch eine Übernahme aus der Ferne denkbar. Seitens Microsoft hält man das Update aber nur für wichtig. Betroffen sind Windows 10 und 11 sowie die Windows Server von 2012 bis 2022.
  • Angriffsvektor: Lokal
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Niedrig
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Ja
  • CVSS v3.1: 7,8 (Basis); 7,2 (zeitlich)
• CVE-2024-38193 ‐ Sicherheitsanfälligkeit im Windows-Zusatzfunktionstreiber für Winsock bezüglich Rechteerweiterungen:
  Dies ist eine weitere Schwachstelle des Typs Use After Free, über die lokale Angreifer volle Systemrechte erlangen können. Wie üblich ist sie attraktiv für eine Exploit-Kette, die von einem Remote-Angriff über Zugriff mit normalen Nutzerrechten hoch eskaliert. In Redmond bewertet man das Update als wichtig. Betroffen sind Windows 10 und 11 sowie die Windows Server von 2008 bis 2022.
  • Angriffsvektor: Lokal
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Niedrig
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Ja
  • CVSS v3.1: 7,8 (Basis); 7,2 (zeitlich)
• CVE-2024-38178 ‐ Sicherheitsanfälligkeit im Skriptmodul bezüglich Beschädigung des Arbeitsspeichers:
  Eine Typenverwechslung im Skriptmodul erlaubt Angriffe aus der Ferne, soll laut Microsoft aber sehr komplex sein. Zunächst muss ein lokaler Nutzer einen präparierten Link anklicken, der dann von Edge im Internet Explorer Mode geöffnet werden muss. Somit verbleibt der Schweregrad auch hier auf wichtig. Betroffen sind Windows 10 und 11 sowie die Windows Server von 2012 bis 2022.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Hoch
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Anforderung
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Ja
  • CVSS v3.1: 7,5 (Basis); 7,0 (zeitlich)
• CVE-2024-38106 ‐ Sicherheitsanfälligkeit im Windows-Kernel bezüglich Rechteerweiterungen:
  Da der Windows-Kernel sensible Daten in einem unzureichend geschützten Speicherbereich ablegt, können lokale Benutzer diese einsehen und Systemrechte erlangen. Zuvor müssen sie allerdings eine Race-Condition gewinnen, was das Vorhaben merklich erschwert. Auch diesen Flicken stuft man in Redmond als wichtig ein. Betroffen sind Windows 10 und 11 sowie die Windows Server von 2016 bis 2022.
  • Angriffsvektor: Lokal
  • Angriffskomplexität: Hoch
  • Erforderliche Berechtigungen: Niedrig
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Ja
  • CVSS v3.1: 7,0 (Basis); 6,5 (zeitlich)
• CVE-2024-38213 ‐ Sicherheitsanfälligkeit in Windows Mark of the Web bezüglich Umgehung von Sicherheitsfunktionen:
  Über das Sicherheitsmerkmal Mark of the Web stuft Microsoft Dateien aus dem Internet als nicht vertrauenswürdig ein und schränkt den Umgang mit diesen ein. Leider weist dieser Mechanismus regelmäßig Probleme auf und auch in diesem Monat wurde wieder eine Möglichkeit gefunden, um den Schutz des SmartScreen-Filters zu umgehen. Diese Korrektur gilt ebenfalls als wichtig. Betroffen sind Windows 10 und 11 sowie die Windows Server von 2012 bis 2022.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Anforderung
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Ja
  • CVSS v3.1: 6,5 (Basis); 6,0 (zeitlich)