2023-01 Patchday Microsoft

Quelle: microsoft.com

Der erste Patch Tuesday des Jahres 2023 bringt uns 98 behobene Sicherheitslücken von Microsoft. Das ist fast doppelt so viel wie im Dezember. Die Anzahl der Behebungen für kritische Sicherheitsupdates ist ebenfalls höher als im letzten Monat, da Microsoft nun 11 Behebungen veröffentlicht hat, im Vergleich zu 7 im Dezember. Darüber hinaus gibt es in diesem Monat eine behobene Zero-Day-Schwachstelle und eine Schwachstelle, für die es einen funktionierenden Konzeptionsnachweis gibt und die in freier Wildbahn aktiv ausgenutzt wird. Im Folgenden finden Sie Einzelheiten zu den interessantesten kritischen Updates.

Windows Advanced Local Procedure Call (ALPC)-Schwachstelle mit erhöhtem Zugriffsrecht (Elevation of Privilege)

Microsoft hat den Patch zur Behebung von CVE-2023-21674 veröffentlicht, einer neuen Zero-Day-Schwachstelle, die sich auf den Windows Advanced Local Procedure Call (ALPC) auswirkt. Die Schwachstelle ist wenig komplex, nutzt den lokalen Vektor und erfordert geringe Berechtigungen und keine Benutzerinteraktion. Sie betrifft alle Windows-Betriebssystemversionen ab Windows 8.1 und Windows Server 2012 R2. Diese Zero-Day-Schwachstelle hat einen hohen CVSS-Risiko-Score von 8,8, und Microsoft hat bestätigt, dass sie aktiv in freier Wildbahn ausgenutzt wird. Der Konzeptnachweis wurde jedoch noch nicht öffentlich bekannt gegeben.

Das Risiko ist jedoch beträchtlich, da diese Schwachstelle Millionen von Unternehmen betrifft und ein potenzieller Angreifer im Falle einer erfolgreichen Ausnutzung SYSTEM-Privilegien erlangen kann.

Um diese Schwachstelle zu entschärfen, installieren Sie das Update von Microsoft auf allen Systemen, nachdem Sie es ordnungsgemäß getestet haben.

Sicherheitslücke in der Benutzeroberfläche von Windows Credential Manager (Erhöhung der Berechtigungen)

Laut Microsoft ist es wahrscheinlicher, dass die Windows Credential Manager-Schwachstelle (CVE-2023-21726) in freier Wildbahn ausgenutzt wird. Sie hat eine geringe Komplexität, verwendet den lokalen Vektor und erfordert geringe Berechtigungen und keine Benutzerinteraktion. Diese Sicherheitslücke kann nur lokal ausgenutzt werden und hat eine hohe CVSS-Risikobewertung von 7,8. Der Proof of Concept und die tatsächlichen Beweise für die Ausnutzung der Schwachstelle wurden jedoch noch nicht veröffentlicht. Die Sicherheitslücke betrifft Windows-Betriebssysteme ab Windows 7 und Windows Server 2008.

Ein Angreifer, der diese Sicherheitslücke erfolgreich ausnutzt, kann SYSTEM-Rechte erlangen.

Die Abhilfe besteht darin, das Update von Microsoft auf allen Systemen zu installieren (nachdem es in einer Testumgebung installiert wurde).

Windows-Kernel-Sicherheitslücken

Microsoft hat mit dem Januar-Patch eine Reihe von Sicherheitslücken im Windows-Kernel behoben. Das Windows-Betriebssystem kann ohne seinen Kernel nicht laufen - ein Programm, das den Kern des Betriebssystems eines Computers bildet und die vollständige Kontrolle über das gesamte System hat, weshalb diese Updates sehr wichtig sind. Das potenzielle Risiko dieser Schwachstellen ist hoch, da sie alle Geräte betreffen, auf denen ein beliebiges Windows-Betriebssystem, beginnend mit Windows 7, ausgeführt wird.

Die Sicherheitsanfälligkeiten unter CVE-2023-21772, CVE-2023-21750, CVE-2023-21675, CVE-2023-21747, CVE-2023-21748, CVE-2023-21749, CVE-2023-21773, CVE-2023-21774 stehen alle im Zusammenhang mit der Erhöhung von Berechtigungen, und CVE-2023-21776 bezieht sich auf die Offenlegung von Informationen.

Sieben Sicherheitsanfälligkeiten im Zusammenhang mit der Erhöhung von Berechtigungen haben eine geringe Komplexität, verwenden den lokalen Vektor, erfordern geringe Berechtigungen und keine Benutzerinteraktion. Diese Schwachstellen haben eine hohe CVSS-Risikobewertung von 7,8, da sie nur lokal ausgenutzt werden können. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, könnte SYSTEM-Rechte erlangen.

CVE-2023-21750 ist anders, weil sie keine Auswirkungen auf die Vertraulichkeit hat. Diese Sicherheitsanfälligkeit ermöglicht keine Offenlegung vertraulicher Informationen; sie kann es einem Angreifer jedoch ermöglichen, bestimmte Daten zu löschen, einschließlich Daten, die zu einer Unterbrechung des Dienstes führen. Das senkt auch seine Punktzahl auf 7.1 unter CVSS.

Und CVE-2023-21776 hat nur Auswirkungen auf die Vertraulichkeit. Die Art der Informationen, die offengelegt werden könnten, wenn ein Angreifer diese Sicherheitslücke erfolgreich ausnutzt, ist der Inhalt des Kernelspeichers. Ein Angreifer könnte den Inhalt des Kernelspeichers von einem Prozess im Benutzermodus aus lesen.

Die Bewertung ist ebenfalls niedriger - 5.5 CVSS

Die Konzeptnachweise für alle Schwachstellen und die Beweise für die tatsächliche Ausnutzung wurden noch nicht öffentlich bekannt gegeben. Die Abhilfe besteht darin, das Update von Microsoft auf allen Systemen zu installieren (nachdem es in einer Testumgebung installiert wurde).

Windows SMB Witness Service Sicherheitslücke mit erhöhtem Zugriffsrecht (Elevation of Privilege)

Laut Microsoft hat der Windows SMB Witness Service (CVE-2023-21549) einen funktionierenden Proof of Concept. Er hat eine geringe Komplexität, nutzt den Netzwerkvektor, erfordert geringe Berechtigungen und keine Benutzerinteraktion. Die Schwachstelle hat eine hohe CVSS-Risikoeinstufung von 8,8. Es gibt jedoch keine Beweise für eine tatsächliche Ausnutzung.

Um diese Sicherheitsanfälligkeit auszunutzen, kann ein Angreifer ein speziell gestaltetes bösartiges Skript ausführen, das einen Remote Procedure Call (RPC)-Aufruf an einen RPC-Host tätigt, auf dem der SMB Witness-Dienst läuft. Diese Aktion kann zu einer Erhöhung der Berechtigung auf dem Server führen, der RPC-Funktionen ausführen kann, die nur privilegierten Konten vorbehalten sind.

Die Sicherheitsanfälligkeit betrifft Windows-Betriebssystemversionen ab Windows 7 und Windows Server 2008.

Die Abhilfe besteht darin, das Update von Microsoft auf allen Systemen zu installieren (nachdem es in einer Testumgebung installiert wurde).

Sicherheitslücke im Windows Print Spooler (Erhöhung der Berechtigung)

Seit Monaten veröffentlicht Microsoft immer wieder Updates zur Behebung von Sicherheitslücken im Windows Print Spooler. Diesen Monat gibt es Updates für drei Sicherheitslücken. Zwei davon, CVE-2023-21678 und CVE-2023-21765, haben eine CVSS-Risikoeinstufung von 7,8. Beide haben eine geringe Komplexität, verwenden den lokalen Vektor, erfordern geringe Berechtigungen und keine Benutzerinteraktion. Ein Angreifer, der diese Sicherheitslücke erfolgreich ausnutzt, kann SYSTEM-Rechte erlangen.

CVE-2023-21760 unterscheidet sich von ihnen insofern, als dass sie keine Auswirkungen auf die Vertraulichkeit hat. Diese Sicherheitsanfälligkeit ermöglicht keine Offenlegung vertraulicher Informationen, aber sie könnte es einem Angreifer ermöglichen, Daten zu löschen, die Daten enthalten könnten, die dazu führen, dass der Dienst nicht mehr verfügbar ist. Dieser Aspekt senkt den CVSS-Score auf 7.1.

Es gibt keinen Beweis für ein Konzept oder eine tatsächliche Ausnutzung der Schwachstelle. Diese Sicherheitsanfälligkeit betrifft Windows-Betriebssystemversionen von Windows 7 bis Windows Server 2008 mit einem laufenden Druckdienst.

Die Abhilfe besteht darin, das Update von Microsoft auf allen Systemen zu installieren (nachdem es in einer Testumgebung installiert wurde).

Microsoft Exchange Server Spoofing-Schwachstelle

Laut Microsoft ist es wahrscheinlich, dass die Microsoft Exchange Server-Schwachstelle in freier Wildbahn ausgenutzt wird (CVE-2023-21745 und CVE-2023-21762). Die Schwachstelle ist wenig komplex, erfordert nur geringe Berechtigungen und erfordert keine Benutzerinteraktion; sie muss jedoch im Exchange Server authentifiziert werden. Sein Vektor ist "Adjacent", d. h. er kann nicht über das Internet ausgenutzt werden; stattdessen benötigt er etwas, das speziell mit dem Ziel verbunden ist, wie z. B. dasselbe gemeinsam genutzte physische Netzwerk, logische Netzwerk oder eine sichere oder begrenzte Verwaltungsdomäne. Dies ist typisch für viele Angriffe, die eine Art "Man-in-the-Middle"-Einrichtung erfordern oder bei denen es darauf ankommt, zunächst in der Umgebung des Opfers Fuß zu fassen.

Die Ausnutzung dieser Sicherheitsanfälligkeit könnte die Offenlegung von NTLM-Hashes ermöglichen. Wenn der Angriff erfolgreich ist, könnte er zu einem NTLM-Relay führen, das Kontrollen ermöglicht, die die Verfügbarkeit einer Ressource blockieren könnten.

Die Schwachstelle hat eine hohe CVSS-Risikoeinstufung von 8,0. Der Proof of Concept und die tatsächlichen Beweise für die Ausnutzung der Schwachstelle sind jedoch noch nicht öffentlich bekannt. Diese Sicherheitslücke betrifft Microsoft Exchange-Server ab 2013. Aktualisieren Sie so bald wie möglich, nachdem Sie dieses Update in einer Testumgebung getestet haben.