Microsoft hat im Juni 55 Schwachstellen gestopft und auch Intel-CPUs abgesichert

Microsoft hat im Juni 55 Sicherheitslücken in Windows, Edge (Chromium-basiert), .NET und Visual Studio, Azure (OMI, Real Time Operating System, Service Fabric Container), dem Remote Volume Shadow Copy Service (RVSS) und dem SQL-Server geschlossen. Als weitere Baustelle wird Intel aufgeführt, denn in etlichen Prozessoren des Herstellers mussten vier Datenlecks abgedichtet werden. Die Windows-Flicken vermindern dabei nur das Risiko, zusätzlich ist ein Firmware-Update erforderlich. Drei Schwachstellen wurden als kritisch eingestuft, von den übrigen geht eine hohe Gefahr aus. 0-Day-Lücken gab es diesmal nicht.

Die Liste der verwundbaren Windows-Komponenten umfasst den Advanced Local Procedure Call (ALPC), den Ancillary Function Driver für WinSock, den App Store, den Autopilot, die Codecs Library, den Container Isolation FS Filter Driver, den Container Manager Service, den Defender, das Encrypting File System (EFS), den File History Service, Hyper-V (Rolle), den Installer, iSCSI (internet Small Computer System Interface), Kerberos, den Kernel, das Lightweight Directory Access Protocol (LDAP), den Local Security Authority Subsystem Service, Media, die Network Address Translation (NAT), das Network File System, PowerShell und SMB. Seitens Office wurden Sicherheitslücken in Office, Excel und SharePoint abgesichert.

Betrachten wir zunächst die drei kritischen Lücken, sortiert nach ihrer CVSS-Einstufung:

• CVE-2022-30136 ‐ Sicherheitsanfälligkeit im Windows-Netzwerkdateisystem bezüglich Remotecodeausführung:
  Die gefährlichste Sicherheitslücke steckt wie schon im Mai im Windows-Netzwerkdateisystem NFS, doch im Gegensatz zu CVE-2022-26937 sind diesmal nicht die NFS-Versionen 2 und 3 betroffen, sondern die zuletzt noch verschonte Version 4.1. Um eigenen Code einzuschleusen, muss ein Angreifer lediglich einen speziell gestalteten Aufruf des Network File System-Dienstes (NFS) absetzen. Die Attacke erfolgt über das Netzwerk ohne Authentifizierung. Betroffen sind alle Windows-Server von 2012 bis 2019. Die einzige gute Nachricht besteht darin, dass diese Schwachstelle bisher weder ausgenutzt noch öffentlich dokumentiert wurde. Man sollte sich aber unverzüglich auf baldige Angriffe vorbereiten.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Niedrig
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • Eine zukünftige Ausnutzung ist: wahrscheinlicher
  • CVSS v3.1: 9,8 (Basis); 8,5 (zeitlich)
• CVE-2022-30163 ‐ Sicherheitsanfälligkeit in Windows Hyper-V bezüglich Remotecodeausführung:
  Wenn ein authentifizierter Angreifer eine speziell gestaltete Anwendung auf einem Hyper-V-Gast ausführt, kann er dem Host-System beliebigen Code unterschieben. Damit dies gelingt, muss der Angreifer allerdings eine Race-Bedingung gewinnen, weshalb die Komplexität dieser Attacke als hoch eingestuft wurde. Betroffen sind Windows 7 bis 11 sowie die Server von 2008 R2 bis 2022. Diese Schwachstelle wurde bisher weder ausgenutzt noch öffentlich gemacht, zukünftige Angriffe gelten als unwahrscheinlich.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Hoch
  • Erforderliche Berechtigungen: Niedrig
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • Eine zukünftige Ausnutzung ist: unwahrscheinlicher
  • CVSS v3.1: 8,5 (Basis); 7,4 (zeitlich)
• CVE-2022-30139 ‐ Sicherheitsanfälligkeit im Windows Lightweight Directory Access Protocol (LDAP) bezüglich Remotecodeausführung:
  Dieser Angriff auf das Lightweight Directory Access Protocol (LDAP) funktioniert nur, wenn dessen MaxReceiveBuffer-Richtlinie einen höheren Wert als den Standardvorgabe verwendet. Um eigenen Code auszuführen, muss der Angreifer zudem die Zielumgebung vorbereiten, was die Komplexität der Attacke stark erhöht. Betroffen sind Windows 10 bis 11 sowie die Server von 2016 bis 2022. Diese Schwachstelle wurde bisher weder ausgenutzt noch öffentlich gemacht, zukünftige Angriffe gelten als unwahrscheinlich.
  • Angriffsvektor: Netzwerk
  • Angriffskomplexität: Hoch
  • Erforderliche Berechtigungen: Niedrig
  • Benutzerinteraktion: Keine
  • Öffentlich gemacht: Nein
  • Ausgenutzt: Nein
  • Eine zukünftige Ausnutzung ist: unwahrscheinlicher
  • CVSS v3.1: 7,5 (Basis); 6,5 (zeitlich)

Weitere Schwachstellen inklusive der Fehler in Intel-Prozessoren
24 der hochgefährlichen Sicherheitslücken fallen in die Kategorie der Remote-Code-Ausführungen, dazu kommen zwölf Rechteausweitungen und elf Datenlecks. Vier dieser Datenlecks (CVE-2022-21123, CVE-2022-21125, CVE-2022-21127, CVE-2022-21166) stecken in Prozessoren des Herstellers Intel, der die Schwachstellen in der Meldung Intel-SA-00615 dokumentiert und auch die betroffenen CPU-Modelle auflistet. Ebenfalls als hochgefährlich wurden drei Möglichkeiten zum Blockieren von Diensten (Denial of Service), eine Umgehung von Sicherheitsmaßnahmen sowie eine Täuschung (Spoofing) eingestuft.