2023-07 Patchday Microsoft

Quelle: microsoft.com

Heute ist Microsofts Patch-Dienstag für Juli 2023 mit Sicherheitsupdates für 132 Schwachstellen, darunter sechs aktiv ausgenutzte und siebenunddreißig Schwachstellen für die Ausführung von Remote-Code.

Während siebenunddreißig RCE-Fehler behoben wurden, stufte Microsoft nur neun als "kritisch" ein. Eine der RCE-Schwachstellen bleibt jedoch ungepatcht und wird von zahlreichen Cybersicherheitsfirmen aktiv für Angriffe ausgenutzt.

Der Patch Tuesday dieses Monats behebt sechs Zero-Day-Schwachstellen, die alle in Angriffen ausgenutzt wurden und von denen eine öffentlich bekannt wurde.

Microsoft stuft eine Sicherheitslücke als Zero-Day ein, wenn sie öffentlich bekannt ist oder aktiv ausgenutzt wird, ohne dass ein offizieller Fix verfügbar ist.

CVE-2023-32046 - Windows MSHTML Platform Elevation of Privilege Vulnerability

Microsoft hat eine aktiv ausgenutzte Sicherheitslücke in Windows MSHTML behoben, die durch das Öffnen einer speziell gestalteten Datei über E-Mail oder bösartige Websites ausgenutzt wurde.

"Der Angreifer würde die Rechte des Benutzers erlangen, der die betroffene Anwendung ausführt", heißt es in der Mitteilung von Microsoft.

Microsoft sagt, dass der Fehler intern vom Microsoft Threat Intelligence Center entdeckt wurde.

CVE-2023-32049 - Umgehung der Sicherheitsfunktion von Windows SmartScreen (Sicherheitslücke)

Bedrohungsakteure nutzten diese Sicherheitslücke aus, um die Anzeige der Aufforderung "Datei öffnen - Sicherheitswarnung" beim Herunterladen und Öffnen von Dateien aus dem Internet zu verhindern.

Microsoft gibt an, dass die Schwachstelle intern vom Microsoft Threat Intelligence Center entdeckt wurde.

CVE-2023-36874 - Sicherheitsanfälligkeit durch Erhöhung der Berechtigungen im Windows Error Reporting Service

Diese aktiv ausgenutzte Sicherheitslücke zur Erhöhung der Berechtigungen ermöglicht es Angreifern, Administratorrechte auf dem Windows-Gerät zu erlangen.

"Ein Angreifer muss lokalen Zugriff auf das Zielgerät haben und der Benutzer muss in der Lage sein, Ordner und Leistungsspuren auf dem Gerät zu erstellen, mit eingeschränkten Rechten, die normale Benutzer standardmäßig haben", warnt Microsoft.

Laut Microsoft wurde die Schwachstelle von Vlad Stolyarov und Maddie Stone von Googles Threat Analysis Group (TAG) entdeckt.

CVE-2023-36884 - Office- und Windows-HTML-Schwachstelle für Remotecodeausführung

Microsoft hat eine Anleitung zu einer öffentlich gemeldeten, ungepatchten Microsoft Office- und Windows-Zero-Day-Schwachstelle veröffentlicht, die die Remotecodeausführung mithilfe speziell gestalteter Microsoft Office-Dokumente ermöglicht.

"Microsoft untersucht Berichte über eine Reihe von Sicherheitsanfälligkeiten für Remotecodeausführung, die Windows- und Office-Produkte betreffen. Microsoft hat Kenntnis von gezielten Angriffen, die versuchen, diese Sicherheitslücken durch speziell erstellte Microsoft Office-Dokumente auszunutzen", heißt es im Advisory zu CVE-2023-36884.

"Ein Angreifer könnte ein speziell gestaltetes Microsoft Office-Dokument erstellen, das es ihm ermöglicht, Remotecodeausführung im Kontext des Opfers durchzuführen. Allerdings müsste ein Angreifer das Opfer dazu bringen, die bösartige Datei zu öffnen."

"Nach Abschluss dieser Untersuchung wird Microsoft die entsprechenden Maßnahmen ergreifen, um unsere Kunden zu schützen. Dazu könnte die Bereitstellung eines Sicherheitsupdates im Rahmen unseres monatlichen Veröffentlichungsprozesses oder die Bereitstellung eines Sicherheitsupdates außerhalb des Zyklus gehören, je nach Kundenbedarf."

Obwohl derzeit keine Sicherheitsupdates für diese Schwachstelle verfügbar sind, sagt Microsoft, dass Benutzer von Microsoft Defender for Office und Benutzer, die die "Block all Office applications from creating child processes" Attack Surface Reduction Rule" verwenden, vor Anhängen geschützt sind, die versuchen, diese Sicherheitslücke auszunutzen.

Für diejenigen, die diese Schutzmaßnahmen nicht verwenden, können Sie die folgenden Anwendungsnamen zum Registrierungsschlüssel HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BLOCK_CROSS_PROTOCOL_FILE_NAVIGATION als Werte vom Typ REG_DWORD mit den Daten 1 hinzufügen.

• Excel.exe
• Graph.exe
• MSAccess.exe
• MSPub.exe
• PowerPoint.exe
• Visio.exe
• WinProj.exe
• WinWord.exe
• Wordpad.exe

ADV230001 - Hinweise zu von Microsoft signierten Treibern, die in böser Absicht verwendet werden

Microsoft hat Code-Signatur-Zertifikate und Entwicklerkonten widerrufen, die eine Lücke in der Windows-Richtlinie zur Installation bösartiger Kernel-Mode-Treiber missbraucht haben.

Cisco Talos veröffentlichte heute zwei Berichte darüber, wie dieses Schlupfloch missbraucht wurde, um bösartige Treiber zu signieren, die den Browserverkehr abfangen, darunter Chrome, Edge und Firefox sowie eine umfangreiche Liste von in China beliebten Browsern.

Microsoft hat ein Advisory veröffentlicht, in dem erklärt wird, dass alle zugehörigen Entwicklerkonten gesperrt und die missbrauchten Zertifikate widerrufen wurden.

"Microsoft wurde darüber informiert, dass Treiber, die durch das Windows Hardware Developer Program von Microsoft zertifiziert wurden, in böswilliger Weise für Post-Exploitation-Aktivitäten verwendet wurden. Bei diesen Angriffen hatte der Angreifer bereits vor der Verwendung der Treiber administrative Rechte auf den angegriffenen Systemen erlangt", erklärt Microsoft.

Als wir am 9. Februar 2023 von Sophos über diese Aktivitäten informiert wurden, wurde eine Untersuchung durchgeführt; Trend Micro und Cisco haben daraufhin Berichte mit weiteren Details vorgelegt. Diese Untersuchung ergab, dass mehrere Entwicklerkonten für das Microsoft Partner Center (MPC) daran beteiligt waren, schädliche Treiber einzureichen, um eine Microsoft-Signatur zu erhalten".

"Alle in diesen Vorfall verwickelten Entwicklerkonten wurden sofort gesperrt."

CVE-2023-35311 - Sicherheitslücke in Microsoft Outlook durch Umgehung von Sicherheitsfunktionen

Microsoft hat eine aktiv ausgenutzte Zero-Day-Schwachstelle in Microsoft Outlook behoben, die Sicherheitswarnungen umgeht und im Vorschaufenster funktioniert.

"Der Angreifer könnte die Eingabeaufforderung für Sicherheitshinweise in Microsoft Outlook umgehen", erklärt Microsoft.