Microsoft hat im April 117 Schwachstellen gestopft, darunter eine 0-Day-Lücke

Microsoft hat im April 117 Sicherheitslücken in Windows, Edge (Chromium-basiert), Office, den Active Directory Domain Services, der Azure SDK und Azure Site Recovery, dem Bluetooth-Treiber, dem DNS-Server (Rolle), Dynamics, der Graphics-Komponente, dem Lightweight Directory Access-Protokoll (LDAP), dem Local Security Authority Server (LSASRV), dem .NET Framework, Power BI, Skype for Business, Visual Studio nebst Visual Studio Code und dem YARP Reverse Proxy geschlossen. Neun Schwachstellen wurden als kritisch eingestuft, von allen übrigen geht eine hohe Gefahr aus. Unter den hochgefährlichen Sicherheitsanfälligkeiten findet sich eine 0-Day-Lücke.

Die Liste der verwundbaren Windows-Komponenten umfasst Advanced Local Procedure Calls (ALPC), den App Store, den AppX-Paket-Manager, den Benutzerprofildienst, das Cluster Clientfailover, Freigegebene Clustervolumes (Cluster Shared Volume, CSV), den Defender, den Dienst für den Arbeitsordner, die Druckerspooler-Komponenten, die DWM-Kernbibliothek, den Endpunkt-Konfigurations-Manager, das Fax Compose Formular, den Feedback-Hub, den Datei-Explorer, den Dateiserver, Hyper-V (Rolle), den Installer, den iSCSI-Zieldienst, Kerberos, den Kernel, Media, Media Foundation und die Medienbibliothek, das Network File System, die PowerShell, das Remote Desktop (RDP), den Remoteprozeduraufruf-Runtime, Secure Channel (Schannel), das Netzwerkprotokoll Server Message Block (SMB), den Subsystem-Dienst für die lokale Sicherheitsautorität, den Telefonieserver, die Treiber des gemeinsamen Protokolldateisystems, den Upgrade-Assistenten, das 32-Bit-Subsystem Win32K sowie den Zusatzfunktionstreiber für Winsock. Seitens Office wurden Sicherheitslücken in Excel und SharePoint abgesichert.

Betrachten wir zunächst die neun kritischen Lücken:

• CVE-2022-24491 ‐ Sicherheitsanfälligkeit im Windows-Netzwerkdateisystem bezüglich Remotecodeausführung:
  Nicht authentifizierte Benutzer können über diese Sicherheitsanfälligkeit eine speziell gestaltete NFS-Protokoll-Netzwerknachricht an einen anfälligen Windows-Rechner senden und darüber beliebigen Code ausführen. Das funktioniert natürlich nur, wenn die NFS-Rolle aktiviert ist. Betroffen sind Windows 11, Windows 10 Version 1607 bis 21H2 und Windows 8.1 sowie die Server von 2012 bis 2022. Dieser Fehler wurde bisher zwar nicht öffentlich dokumentiert oder ausgenutzt, doch Angreifer müssen nur geringe Hürden überwinden, so dass man von zukünftigen Attacken auf diese Lücke ausgehen muss.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • Eine zukünftige Ausnutzung ist: wahrscheinlicher
  • CVSS v3.1: 9,8 (Basis); 8,5 (zeitlich)
• CVE-2022-26809 ‐ Sicherheitsanfälligkeit in der Remoteprozeduraufruf-Runtime bezüglich Remotecodeausführung:
  Mit Hilfe eines speziell gestalteten RPC-Aufrufs kann ein nicht authentifizierter Benutzer einen RPC-Host zum Ausführen beliebigen Codes bewegen. Der Code läuft dabei mit den gleichen Berechtigungen, die auch der RPC-Dienst verwendet. Betroffen sind Windows 11, Windows 10 Version 1607 bis 21H2, Windows 8.1 und 7 sowie die Server von 2008 bis 2022. Dieser Fehler wurde bisher zwar nicht öffentlich dokumentiert oder ausgenutzt, doch Angreifer müssen nur geringe Hürden überwinden, so dass man von zukünftigen Attacken auf diese Lücke ausgehen muss.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • Eine zukünftige Ausnutzung ist: wahrscheinlicher
  • CVSS v3.1: 9,8 (Basis); 8,5 (zeitlich)
• CVE-2022-24541 ‐ Sicherheitsanfälligkeit im Windows Serverdienst bezüglich Remotecodeausführung:
  Der Serverdienst von Windows kann aus dem Netzwerk über den TCP-Port 445 angegriffen werden. Hierfür muss ein Benutzer dazu gebracht werden, auf eine vom Angreifer kontrollierte und speziell kodierte Serverfreigabe oder Website zuzugreifen. Um dies auszuschließen, empfiehlt es sich, den TCP-Port 445 zum Internet hin zu blockieren. Im lokalen Netzwerk wird der Port in der Regel benötigt, da er vom SMB-Protokoll verwendet wird. Angriffe aus dem lokalen Netzwerk bleiben damit weiterhin möglich. Betroffen sind Windows 11, Windows 10 Version 1607 bis 21H2, Windows 8.1 und 7 sowie die Server von 2008 bis 2022. Diese Schwachstelle wurde bisher weder ausgenutzt noch öffentlich gemacht, zukünftige Angriffe gelten als unwahrscheinlich.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Anforderung
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • Eine zukünftige Ausnutzung ist: unwahrscheinlicher
  • CVSS v3.1: 8,8 (Basis); 7,7 (zeitlich)
• CVE-2022-23257 ‐ Sicherheitsanfälligkeit in Windows Hyper-V bezüglich Remotecodeausführung:
  Mit Hilfe einer speziell gestalteten Anwendung kann ein Hyper-V-Gast den Hyper-V-Host zur Ausführung beliebigen Codes bewegen. Dieser Angriff ist recht simpel gestrickt, was sich in der CVSS-Wertung niederschlägt. Betroffen sind Windows 11 und Windows 10 Version 20H2 bis 21H2 sowie die Server 20H2 und 2022. Diese Schwachstelle wurde bisher weder ausgenutzt noch öffentlich gemacht. Zukünftige Angriffe hält man in Redmond für unwahrscheinlich.
  • Angriffsvektor: Lokal
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Niedrig
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • Eine zukünftige Ausnutzung ist: unwahrscheinlicher
  • CVSS v3.1: 8,8 (Basis); 7,7 (zeitlich)
• CVE-2022-23259 ‐ Sicherheitsanfälligkeit in Microsoft Dynamics 365 (lokal), bezüglich Remotecodeausführung:
  Wenn ein authentifizierter Benutzer ein speziell gestaltetes, vertrauenswürdiges Lösungspaket ausführt, kann er beliebige SQL-Befehle ausführen. Im Anschluss kann der Angreifer Befehle als db_owner innerhalb der Dynamics-356-Datenbank ausführen. Mitglieder der Datenbankrolle db_owner können die Mitgliedschaft von festen Datenbankrollen ändern sowie alle Konfigurations- und Wartungsaktivitäten für die Datenbank durchführen. Betroffen sind Vor-Ort-Installationen (on-premises) von Dynamics 365 Version 9.0 und 9.1. Diese Schwachstelle wurde bisher weder ausgenutzt noch öffentlich gemacht, zukünftige Angriffe gelten als unwahrscheinlich.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Niedrig
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • Eine zukünftige Ausnutzung ist: unwahrscheinlicher
  • CVSS v3.1: 8,8 (Basis); 7,7 (zeitlich)
• CVE-2022-24500 ‐ Sicherheitsanfälligkeit in Windows SMB bezüglich Remotecodeausführung:
  Der Serverdienst von Windows kann aus dem Netzwerk über den TCP-Port 445 angegriffen werden. Hierfür muss ein Benutzer dazu gebracht werden, auf einen vom Angreifer kontrollierten SMB-Server zuzugreifen, um einige Daten als Teil eines OS-API-Aufrufs abzurufen. Um dies auszuschließen, empfiehlt es sich, den TCP-Port 445 zum Internet hin zu blockieren. Im lokalen Netzwerk wird der Port in der Regel benötigt, da er vom SMB-Protokoll verwendet wird. Angriffe aus dem lokalen Netzwerk bleiben damit weiterhin möglich. Betroffen sind Windows 11, Windows 10 Version 1607 bis 21H2, Windows 8.1 und 7 sowie die Server von 2008 bis 2022. Diese Schwachstelle wurde bisher weder ausgenutzt noch öffentlich gemacht, zukünftige Angriffe gelten als unwahrscheinlich.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Anforderung
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • Eine zukünftige Ausnutzung ist: unwahrscheinlicher
  • CVSS v3.1: 8,8 (Basis); 7,7 (zeitlich)
• CVE-2022-26919 ‐ Sicherheitsanfälligkeit in Windows LDAP bezüglich Remotecodeausführung:
  Wenn ein Administrator die Standardeinstellung für MaxReceiveBuffer LDAP erhöht hat, lässt sich der LDAP-Server (Lightweight Directory Access Protocol) über das Netzwerk angreifen. Damit der Angreifer dem Server eigenen Code unterschieben kann, müssen allerdings hohe Hürden überwunden werden. Für einen in der Domäne authentifizierten Standardbenutzer ist die Remotecodeausführung indes möglich. Betroffen sind Windows 11, Windows 10 Version 1607 bis 21H2, Windows 8.1 und 7 sowie die Server von 2008 bis 2022. Diese Schwachstelle wurde bisher weder ausgenutzt noch öffentlich gemacht, zukünftige Angriffe gelten als unwahrscheinlich.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Hoch
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • Eine zukünftige Ausnutzung ist: unwahrscheinlicher
  • CVSS v3.1: 8,1 (Basis); 7,1 (zeitlich)
• CVE-2022-24537 ‐ Sicherheitsanfälligkeit in Windows Hyper-V bezüglich Remotecodeausführung:
  Ein Hyper-V-Gast kann den Hyper-V-Host zur Ausführung beliebigen Codes bewegen. Hierfür sind keine besonderen Berechtigungen erforderlich, doch die Angriffskomplexität ist hoch, da zunächst eine Rennbedingungen gewonnen werden will. Betroffen sind Windows 11 und Windows 10 Version 1607 bis 21H2 sowie die Server von 2016 bis 2022. Diese Schwachstelle wurde bisher weder ausgenutzt noch öffentlich gemacht. Zukünftige Angriffe hält man in Redmond für unwahrscheinlich.
  • Angriffsvektor: Lokal
  • Angriffskomplexität: Hoch
  • Erforderliche Berechtigungen: Niedrig
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • Eine zukünftige Ausnutzung ist: unwahrscheinlicher
  • CVSS v3.1: 7,8 (Basis); 6,8 (zeitlich)
• CVE-2022-22008 ‐ Sicherheitsanfälligkeit in Windows Hyper-V bezüglich Remotecodeausführung:
  Ein Hyper-V-Gast kann den Hyper-V-Host zur Ausführung beliebigen Codes bewegen. Hierfür sind keine besonderen Berechtigungen erforderlich, doch die Angriffskomplexität ist hoch, da zunächst eine Rennbedingungen gewonnen werden will. Betroffen sind Windows 11, Windows 10 Version 1607 bis 21H2 und Windows 8.1 sowie die Server von 2012 R2 bis 2022. Diese Schwachstelle wurde bisher weder ausgenutzt noch öffentlich gemacht. Zukünftige Angriffe hält man in Redmond für unwahrscheinlich.
  • Angriffsvektor: Lokal
  • Angriffskomplexität: Hoch
  • Erforderliche Berechtigungen: Niedrig
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • Eine zukünftige Ausnutzung ist: unwahrscheinlicher
  • CVSS v3.1: 7,8 (Basis); 6,8 (zeitlich)

46 der hochgefährlichen Lücken fallen in die Kategorie der Rechteausweitungen und bei weiteren 37 handelt es sich um Remote-Code-Ausführungen. Dazu kommen 13 Datenlecks, neun Möglichkeiten zum Blockieren von Diensten (Denial of Service) und drei Täuschungen (Spoofing). Einer der hochgefährlichen Fehler ‐ CVE-2022-24521 ‐ Sicherheitsanfälligkeit im Treiber des gemeinsamen Protokolldateisystems bezüglich Rechteerweiterungen (CVSS v3.1: 7,8/7,2) ‐ wurde bereits im Vorfeld ausgenutzt, es handelt sich somit um eine 0-Day-Lücke. Ein zweiter ‐ CVE-2022-26904 ‐ Sicherheitsanfälligkeit in Windows-Benutzerprofildienst bezüglich Rechteerweiterungen (CVSS v3.1: 7,0/6,5) ‐ wurde vorab öffentlich gemacht.