2023-03 Patchday Microsoft

Quelle: microsoft.com

Heute ist Microsofts Patch-Dienstag im März 2023, und die Sicherheitsupdates beheben zwei aktiv ausgenutzte Zero-Day-Schwachstellen und insgesamt 83 Schwachstellen. Neun Schwachstellen wurden als "kritisch" eingestuft, da sie die Ausführung von Remotecode, die Verweigerung von Diensten oder Angriffe mit erhöhten Rechten ermöglichen.In dieser Zahl sind die einundzwanzig Sicherheitslücken in Microsoft Edge nicht enthalten, die gestern behoben wurden.

Der dies monatige Patch Tuesday behebt zwei Zero-Day-Schwachstellen, die aktiv in Angriffen ausgenutzt werden.

Microsoft stuft eine Sicherheitslücke als Zero-Day-Schwachstelle ein, wenn sie öffentlich bekannt ist oder aktiv ausgenutzt wird, ohne dass ein offizieller Fix verfügbar ist.

Die beiden aktiv ausgenutzten Zero-Day-Schwachstellen, die mit den heutigen Updates behoben werden, sind:

CVE-2023-23397 - Microsoft Outlook Sicherheitsanfälligkeit durch Erhöhung der Berechtigungen

Microsoft hat einen Fehler in Microsoft Outlook behoben, durch den speziell gestaltete E-Mails das Gerät eines Ziels zwingen können, eine Verbindung zu einer entfernten URL herzustellen und den Net-NTLMv2-Hash des Windows-Kontos zu übertragen.

"Externe Angreifer können speziell gestaltete E-Mails senden, die eine Verbindung des Opfers zu einem externen UNC-Standort unter der Kontrolle der Angreifer herstellen. Dadurch wird der Net-NTLMv2-Hash des Opfers an den Angreifer weitergegeben, der diesen dann an einen anderen Dienst weiterleiten und sich als das Opfer authentifizieren kann", heißt es in der Mitteilung von Microsoft.

Microsoft warnt, dass diese Schwachstelle ausgelöst wird, bevor sie im Vorschaufenster gelesen wird, da die Schwachstelle "automatisch ausgelöst wird, wenn sie vom E-Mail-Server abgerufen und verarbeitet wird".

Diese Sicherheitslücke wurde von CERT-UA, Microsoft Incident und Microsoft Threat Intelligence (MSTI) aufgedeckt.

Da die Schwachstelle scheinbar auch bereits ausgenutzt wurde, hat Microsoft zusätzlich ein Skript veröffentlicht, welches prüft, ob sich schädliche Elemente in den Postfächern befinden. Das Skript benötigt die EWS Schnittstelle und kann hier runter geladen werden:

• CVE-2023-23397 script

Wichtig: Das Skript benötigt Impersonations-Rechte und eine entsprechende Throttling Policy. Im oben angegebenen Link steht, wie diese Rechte konfiguriert werden. Das Skript sollte auch in Umgebungen ausgeführt werden, welche Exchange Online verwenden, auch dort können schädliche Elemente in den Postfächern liegen.

CVE-2023-24880 - Umgehung der Sicherheitsfunktion von Windows SmartScreen (Sicherheitslücke)

Microsoft hat eine aktiv ausgenutzte Zero-Day-Schwachstelle in Windows SmartScreen behoben, die dazu verwendet werden kann, ausführbare Dateien zu erstellen, die die Windows Mark of the Web-Sicherheitswarnung umgehen.

"Ein Angreifer kann eine bösartige Datei erstellen, die die Mark of the Web (MOTW)-Verteidigung umgeht, was zu einem begrenzten Verlust der Integrität und der Verfügbarkeit von Sicherheitsfunktionen wie Protected View in Microsoft Office führt, die auf der MOTW-Kennzeichnung beruhen", heißt es in der Mitteilung von Microsoft.

Diese Schwachstelle wurde von der Threat Analysis Group von Google entdeckt, die sie von der Magniber Ransomware Operation ausnutzte.

Nach der Analyse der Schwachstelle stellte Google TAG fest, dass es sich um eine Umgehung einer früheren Zero-Day-Schwachstelle CVE-2022-44698 handelt, die von Magniber ausgenutzt und von Microsoft im Dezember behoben wurde.

Bei der Ausnutzung von CVE-2022-44698 nutzten die Bedrohungsakteure eigenständige, signierte JavaScript (.JS)-Dateien] mit einer missgestalteten Signatur. Diese Schwachstelle führte dazu, dass Windows SmartScreen einen Fehler erzeugte und die MoTW-Warnungen umging.

Nachdem Microsoft im Dezember CVE-2022-44698 behoben hatte, stellte Google fest, dass Magniber dazu überging, fehlerhafte Authenticode-Signaturen in MSI-Dateien zu verwenden, um die Korrektur zu umgehen.

Google erklärte, dass diese Umgehung dadurch verursacht wurde, dass Microsoft nur den ursprünglich gemeldeten Missbrauch von JavaScript-Dateien behoben hat, anstatt die eigentliche Ursache des Fehlers zu beheben.

Laut Microsoft wurde die Schwachstelle von Benoît Sevens und Vlad Stolyarov von der Threat Analysis Group von Google und Bill Demirkapi von Microsoft aufgedeckt.

Auch für den Exchange Server gibt es ein Patch:

CVE-2023-21707 - Microsoft Exchange Server Remote Code Execution Vulnerability

Hier geht es direkt zu den Downloads:

• Exchange Server 2013 CU23
• Exchange Server 2016 CU23
• Exchange Server 2019 CU11 und CU12

Die Updates beheben 3 als „Wichtig“ eingestufte Schwachstellen welche in die Kategorie „Remote Code Execution“ fallen:

• Microsoft Exchange Server Remote Code Execution Vulnerability (CVE-2023-21706)
• Microsoft Exchange Server Remote Code Execution Vulnerability (CVE-2023-21710)
• Microsoft Exchange Server Remote Code Execution Vulnerability (CVE-2023-21529)

Mit diesem Update, wurde endlich mehrere Probleme behoben:

• abstürzenden EWS Web Application Pool im IIS (sollte der empfohlene Workaround implementiert worden sein, muss dieser manuell wieder rückgängig gemacht werden)
• Exchange Tool Box funktioniert wieder
• sowie die Warteschlangenanzeige
• und die Retention Policies zusammen mit Windows Extended Protection funktionieren.

Nachfolgend finden Sie die vollständige Liste der behobenen Sicherheitslücken und die veröffentlichten Hinweise für die Patch Tuesday-Updates im März 2023.