2023-05 Patchday Microsoft

Quelle: microsoft.com

Der Patch Tuesday dieses Monats behebt drei Zero-Day-Schwachstellen, von denen zwei in Angriffen ausgenutzt wurden und eine weitere öffentlich bekannt ist.

Microsoft stuft eine Sicherheitslücke als Zero-Day ein, wenn sie öffentlich bekannt ist oder aktiv ausgenutzt wird, ohne dass ein offizieller Fix verfügbar ist.

Die beiden aktiv ausgenutzten Zero-Day-Schwachstellen in den heutigen Updates sind:

CVE-2023-29336 - Win32k-Sicherheitslücke durch Erhöhung der Zugriffsrechte

Microsoft hat eine Sicherheitslücke im Win32k-Kernel-Treiber behoben, die zu einer Erhöhung der Berechtigungen auf SYSTEM, die höchste Berechtigungsstufe von Windows, führt.

"Ein Angreifer, der diese Schwachstelle erfolgreich ausnutzt, kann SYSTEM-Rechte erlangen", heißt es in der Mitteilung von Microsoft.

Während Microsoft berichtet, dass der Fehler aktiv ausgenutzt wird, gibt es keine Details darüber, wie er missbraucht wurde.

Laut Microsoft haben Jan Vojtešek, Milánek und Luigino Camastra von Avast die Sicherheitslücke entdeckt.

CVE-2023-24932 - Umgehung der Sicherheitsfunktion von Secure Boot

Microsoft hat eine Sicherheitslücke bei der Umgehung von Secure Boot behoben, die von einem Bedrohungsakteur zur Installation des BlackLotus UEFI Bootkit genutzt wurde.

"Um die Schwachstelle auszunutzen, könnte ein Angreifer, der physischen Zugriff oder administrative Rechte auf ein Zielgerät hat, eine betroffene Boot-Policy installieren", heißt es in der Mitteilung von Microsoft.

Bei UEFI-Bootkits handelt es sich um Malware, die in die Systemfirmware eingeschleust wird und für die Sicherheitssoftware des Betriebssystems unsichtbar ist, da die Malware in der Anfangsphase des Bootvorgangs geladen wird.

Seit Oktober 2022 verkauft ein Bedrohungsakteur das BlackLotus-Bootkit in Hackerforen und entwickelt seine Funktionen ständig weiter. So berichtete ESET im März, dass der Entwickler die Malware so verbessert hat, dass sie selbst bei vollständig gepatchten Windows 11 Betriebssystemen Secure Boot umgeht.

Microsoft veröffentlichte letzten Monat eine Anleitung zur Erkennung von BlackLotus UEFI-Bootkit-Angriffen. Mit dem heutigen Patch Tuesday behebt Microsoft die vom Bootkit genutzte Sicherheitslücke, aktiviert sie aber nicht standardmäßig.

"Das Sicherheitsupdate behebt die Schwachstelle durch eine Aktualisierung des Windows-Bootmanagers, ist aber nicht standardmäßig aktiviert", heißt es in der Mitteilung von Microsoft.

"Zum jetzigen Zeitpunkt sind zusätzliche Schritte erforderlich, um die Sicherheitslücke zu beheben. Bitte beachten Sie die folgenden Schritte, um die Auswirkungen auf Ihre Umgebung zu ermitteln: KB5025885: Verwalten der Windows Boot Manager-Widerrufe für Secure Boot-Änderungen im Zusammenhang mit CVE-2023-249320."

Laut Microsoft ist diese Sicherheitslücke eine Umgehung der zuvor behobenen Sicherheitslücke CVE-2022-21894.

Microsoft hat außerdem ein Sicherheitsupdate für eine öffentlich gemeldete Zero-Day-Schwachstelle veröffentlicht, die nicht aktiv ausgenutzt wurde.

Manuelle Schritte zur Entschärfung von CVE-2023-24932 erforderlich

Die heute von Redmond veröffentlichten Sicherheitsupdates enthalten zwar eine Korrektur für den Windows-Bootmanager, sind jedoch standardmäßig deaktiviert und beseitigen nicht den Angriffsvektor, der bei BlackLotus-Angriffen ausgenutzt wird.

Um ihre Windows-Geräte zu schützen, müssen Kunden eine Prozedur durchlaufen, die mehrere manuelle Schritte erfordert, "um bootfähige Medien zu aktualisieren und Widerrufe anzuwenden, bevor dieses Update aktiviert wird."

Um den Schutz für den Secure Boot CVE-2023-24932-Bug manuell zu aktivieren, müssen Sie die folgenden Schritte in genau dieser Reihenfolge durchführen (andernfalls lässt sich das System nicht mehr starten):

1. INSTALLIEREN Sie die Updates vom 9. Mai 2023 auf allen betroffenen Systemen.
2. UPDATE Ihrer bootfähigen Medien mit Windows-Updates, die am oder nach dem 9. Mai 2023 veröffentlicht wurden. Wenn Sie keine eigenen Medien erstellen, müssen Sie die aktualisierten offiziellen Medien von Microsoft oder Ihrem Gerätehersteller (OEM) beziehen.
3. APPLY-Widerrufe zum Schutz vor der Sicherheitslücke in CVE-2023-24932.

Microsoft verfolgt außerdem einen stufenweisen Ansatz zur Durchsetzung der Schutzmaßnahmen gegen diese Sicherheitslücke, um die Auswirkungen auf die Kunden durch die Aktivierung der CVE-2023-24932-Schutzmaßnahmen zu verringern.

Der Zeitplan für die Einführung umfasst drei Phasen:

• 9. Mai 2023: Die erste Korrektur für CVE-2023-24932 wird veröffentlicht. In dieser Version erfordert diese Korrektur das Windows-Sicherheitsupdate vom 9. Mai 2023 und zusätzliche Kundenmaßnahmen, um die Schutzmaßnahmen vollständig zu implementieren.
• 11. Juli 2023: Eine zweite Version wird zusätzliche Update-Optionen bereitstellen, um die Bereitstellung der Schutzmaßnahmen zu vereinfachen.
• Erstes Quartal 2024: In dieser endgültigen Version wird der Fix für CVE-2023-24932 standardmäßig aktiviert und der Entzug des Bootmanagers auf allen Windows-Geräten erzwungen.

Microsoft warnte die Kunden außerdem, dass es keine Möglichkeit gibt, die Änderungen rückgängig zu machen, sobald die Abhilfemaßnahmen für CVE-2023-24932 vollständig implementiert sind.

"Sobald die Abschwächung für dieses Problem auf einem Gerät aktiviert ist, was bedeutet, dass die Widerrufe angewendet wurden, kann dies nicht mehr rückgängig gemacht werden, wenn Sie weiterhin Secure Boot auf diesem Gerät verwenden", so Microsoft.

"Selbst eine Neuformatierung des Datenträgers wird die Widerrufe nicht entfernen, wenn sie bereits angewendet wurden.

CVE-2023-29325 - Windows OLE-Sicherheitsanfälligkeit für Remotecode-Ausführung

Microsoft hat eine Windows OLE-Schwachstelle in Microsoft Outlook behoben, die durch speziell gestaltete E-Mails ausgenutzt werden kann.

"In einem E-Mail-Angriffsszenario könnte ein Angreifer die Sicherheitslücke ausnutzen, indem er eine speziell gestaltete E-Mail an das Opfer sendet", warnt Microsoft in seinem Advisory.

"Die Ausnutzung der Sicherheitsanfälligkeit kann dazu führen, dass entweder ein Opfer eine speziell gestaltete E-Mail mit einer betroffenen Version der Microsoft Outlook-Software öffnet oder die Outlook-Anwendung des Opfers eine Vorschau einer speziell gestalteten E-Mail anzeigt."

"Dies könnte dazu führen, dass der Angreifer Remotecode auf dem Computer des Opfers ausführt.

Ein Angreifer muss jedoch eine "Race"-Bedingung gewinnen und zusätzliche Aktionen durchführen, um die Schwachstelle erfolgreich auszunutzen.

Microsoft sagt, dass Benutzer diese Schwachstelle durch Lesen aller Nachrichten im Klartextformat entschärfen können.

Will Dormann von Vuln Labs hat die Sicherheitslücke entdeckt.

Die Mai 2023 Patch Tuesday Sicherheitsupdates