Patchday: Microsoft beseitigt Zero-Day-Lücke in Internet Explorer
Der Februar-Patchday bringt insgesamt 77 Fixes für zum Teil kritische Schwachstellen. Darunter befindet sich ein Update für eine seit Januar bekannte Schwachstelle in Exchange Server. Die Zero-Day-Lücke ermöglicht das Erstellen digitaler Fingerabdrücke von Nutzern.
An seinem monatlichen Patch-Dienstag hat Microsoft Updates für Windows, Office und andere Produkte verfügbar gemacht, die insgesamt 77 Sicherheitsanfälligkeiten beseitigen. Darunter ist auch eine Zero-Day-Lücke im Browser Internet Explorer. Die Schwachstelle mit der Kennung CVE-2019-0676 erlaubt es, zu prüfen, ob bestimmte Dateien auf der Festplatte gespeichert sind.
Alle Fixes verteilt Microsoft wie immer über die in Windows integrierte Update-Funktion. Windows 10 erhält sie zusammen mit dem jüngsten kumulativen Updates, die auch nicht sicherheitsrelevante Probleme lösen.
Das Unternehmen teilte nicht mit, ob der Fehler von staatlich gesponserten Hackern oder von Cyberkriminellen ausgenutzt wird. Ähnliche Fehler wurden in der Vergangenheit unter anderem von Entwickler von Exploit Kits benutzt, um digitale Fingerabdrücke von Nutzern zu erstellen.
In Microsofts zweiten Browser Edge, Windows, Office und Office Services inklusive Web Apps, ChakraCore, .NET Framework, und Exchange Server stecken weitere Schwachstellen. Außerdem sind Visual Studio, Azure IoT SDK, Dynamics, Team Foundation und Visual Studio Code angreifbar.
Unter anderem lassen sich zwei Lücken im Server-Message-Block-Protokoll (SMB) benutzen, um Schadcode einzuschleusen und auszuführen. Sie sollen aber weniger schwerwiegend sein, als die für die Verbreitung von WannaCry und NotPetya eingesetzte Anfälligkeit, die die SMB-Authentifizierung aushebelte. Schlecht gesicherte SMB-Server sind aber möglicherweise trotzdem angreifbar.
Eine Remotecodeausführung lässt der DHCP-Server von Windows Server zu. Speziell gestallte DHCP-Pakete erlauben es einem Angreifer möglicherweise, die Kontrolle über einen Server zu übernehmen.
Ein weiterer Fix steht für die seit Ende Januar bekannte Lücke in Exchange Server zur Verfügung. Die PrivExchange genannte Anfälligkeit gibt Hackern Zugriff auf den Domänencontroller eines Windows-Netzwerks. Öffentlich bekannt waren aber auch Bugs in Team Foundation Server und Windows.
Trend Micros Zero Day Initiative macht zudem noch auf zwei Fehler in SharePoint aufmerksam, die ebenfalls als kritisch eingestuft sind. “Ein Angreifer könnte ein speziell entwickeltes SharePoint-Anwendungspaket hochladen, um seinen Code im Kontext des SharePoint-Anwendungspools und des SharePoint-Serverfarm-Kontos auszuführen”, teilte der Sicherheitsanbieter mit. Insgesamt liefert die Zero Day Initiative nach eigenen Angaben Details zu 21 Anfälligkeiten, die im Februar korrigiert wurden.