Microsoft hat im Februar 55 Schwachstellen gestopft

Microsoft hat im Februar 55 Sicherheitslücken in Windows (Adressbuch, API zur Überprüfung der Vertrauenswürdigkeit, Defender, DirectX, Druckerspooler, Ereignisablaufverfolgung, Grafikkomponente, Installer, Kernel, Konsolen-Treiber, Medienbibliothek, Mobile Geräteverwaltung, Network File System, PFX-Verschlüsselung, PKU2U, PowerShell, Remoteprozeduraufruf, Sicherungsmodul, TCP/IP), Office (Excel und SharePoint), .NET (Core und Framework), Azure (IoT und Kubernetes Service), Dynamics, Edge für Android, den Entwicklertools, dem Exchange Server, den Server-Rollen (DNS, Hyper-V, Faxdienst), Skype for Business, SysInternals, System Center und Visual Studio geschlossen.

Elf der 55 Sicherheitslücken sind kritischer Natur und zwei von mittlerer Schwere. Die restlichen Schwachstellen bergen allesamt eine hohe Gefahr, darunter finden sich je zehn Rechteausweitungen und Code-Ausführungen sowie neun Datenlecks. Dazu kommen zwei Möglichkeiten zum Umgehen von Sicherheitsmaßnahmen, sechs Schwachstellen zum blockieren von Diensten (Denial of Service) und fünf Täuschungen (Spoofing).

Kommen wir nun zu den zehn kritischen Fehlern, die sich allesamt zum Einschleusen von Schadcode eignen. Nur einer dieser Fehler wurde vorab öffentlich gemacht und keine dieser Lücken wird bereits angegriffen:

• CVE-2021-1722, CVE-2021-24077: Der Fax-Dienst von Windows lässt sich über das Netzwerk angreifen, besondere Berechtigungen oder eine Interaktion des Benutzers sind nicht erforderlich. Die Komplexität dieser Attacken ist jedoch hoch und die Fehler wurden bisher nicht öffentlich dokumentiert. Angriffe gelten deshalb als unwahrscheinlich. Betroffen sind alle Windows-Versionen einschließlich der Server.
• CVE-2021-24074, CVE-2021-24078, CVE-2021-24094: Auch der TCP/IP-Implementierung von Windows kann man über das Netzwerk Schadcode unterjubeln. Das Vorgehen ist recht simpel und es sind weder besondere Berechtigungen noch Nutzerinteraktionen erforderlich. Bisher wurden noch keine Angriffe dokumentiert, doch Microsoft erwartet solche, da alle Windows-Versionen einschließlich der Server verwundbar sind.
• :
• CVE-2021-24081: Ein lokaler Angriff auf die Medienbibliothek von Windows 10 scheint da wesentlich uninteressanter. Er ist zwar nicht kompliziert und erfordert auch keine besonderen Berechtigungen, doch der Nutzer muss mitspielen. Dieser Fehler steckt auch in den von Windows 10 abstammenden Server-Editionen.
• CVE-2021-24088: Einen Netzwerkangriff auf den Windows-Spooler wertet Microsoft ebenfalls als unwahrscheinlich, obwohl dieser simpel gestrickt ist und weder besondere Berechtigungen noch einer Nutzerinteraktion erfordert. Abermals sind alle Windows-Versionen mitsamt der dazugehörigen Server betroffen.
• CVE-2021-24091: Eine Code-Ausführung über das Camera Codec Pack von Windows funktioniert wieder nur lokal und erfordert eine Nutzerinteraktion. Die Ausnutzung ist trivial aber unwahrscheinlich, bedroht sind Windows 10 sowie dessen Server-Abkömmlinge.
• CVE-2021-24093: Die Grafikkomponente von Windows 10 ist über das Netzwerk verwundbar und auch dieser Angriff ist einfach und erfordert keine Berechtigungen. Da zumindest eine Bestätigung des Benutzers erfolgen muss, hält Microsoft eine Ausnutzung für weniger wahrscheinlich.
• CVE-2021-24112, CVE-2021-26701: Diese Netzwerkangriffe auf .NET-Core sind von hoher Komplexität, erfordern aber keine besonderen Berechtigungen oder Benutzertaktionen. In Redmond erwartet man keine Angriffe. Betroffen ist .NET-Core in den Versionen 2.1, 3.1 sowie .NET 5.0. CVE-2021-26701 wurde bereits im Vorfeld öffentlich dokumentiert.

Zwei hochgefährliche Sicherheitsanfälligkeiten, die DoS-Angriffe (Denial-of-Service) gegen den Treiber der Windows Konsole (CVE-2021-24098), .NET Core und Visual Studio ermöglichen (CVE-2021-17211), wurde ebenfalls vorab publik gemacht. Angriffe auf diese Schwachstellen sollen aber noch nicht erfolgt sein. Gleiches gilt für Rechteausweitungen im Windows Installer (CVE-2021-1727) und in Sysinternals PsExec (CVE-2021-1733) sowie ein Datenleck in DirectX (CVE-2021-24106). Bei einer weiteren hochgefährlichen Rechteausweitung in Windows-Win32k (CVE-2021-1732) handelt es sich indes um eine 0-Day-Lücke, die bereits ausgenutzt wird. Glücklicherweise erfordert diese einen lokalen Zugriff.