2023-10 Patchday Microsoft

Quelle: microsoft.com

Microsofts Patch Tuesday im Oktober 2023 mit Sicherheitsupdates für 104 Schwachstellen, darunter drei aktiv ausgenutzte Zero-Day-Schwachstellen.

Während fünfundvierzig RCE-Fehler (Remote Code Execution) behoben wurden, stufte Microsoft nur zwölf Schwachstellen als "kritisch" ein, bei denen es sich um RCE-Fehler handelt.

Die Anzahl der Fehler in jeder Sicherheitskategorie ist unten aufgeführt:

• 26 Sicherheitslücken im Zusammenhang mit der Erhöhung von Privilegien
• 3 Anfälligkeiten für die Umgehung von Sicherheitsfunktionen
• 45 Schwachstellen bei der Remote-Code-Ausführung
• 12 Schwachstellen in Bezug auf die Offenlegung von Informationen
• 17 Denial-of-Service-Schwachstellen
• 1 Spoofing-Schwachstellen

In der Gesamtzahl von 104 Schwachstellen ist die Chromium-Schwachstelle CVE-2023-5346 nicht enthalten, die von Google am 3. Oktober behoben und auf Microsoft Edge portiert wurde.

Drei aktiv ausgenutzte Zero-Day-Schwachstellen

Der diesmonatige Patch Tuesday behebt drei Zero-Day-Schwachstellen, die alle in Angriffen ausgenutzt werden und von denen zwei öffentlich bekannt sind.

Microsoft stuft eine Sicherheitslücke als Zero-Day ein, wenn sie öffentlich bekannt ist oder aktiv ausgenutzt wird, ohne dass ein offizieller Fix verfügbar ist.

Die drei aktiv ausgenutzten Zero-Day-Schwachstellen in den heutigen Updates sind:

CVE-2023-41763 - Sicherheitsanfälligkeit durch Erhöhung der Berechtigungen in Skype for Business

Microsoft hat eine aktiv ausgenutzte Sicherheitslücke in Skype for Business behoben, die als "Elevation of Privileges"-Fehler eingestuft wird.

"Ein Angreifer, der die Schwachstelle erfolgreich ausnutzt, kann einige vertrauliche Informationen einsehen (Vertraulichkeit), aber nicht alle Ressourcen innerhalb der betroffenen Komponente können dem Angreifer offengelegt werden", erklärt Microsoft.

"Der Angreifer kann jedoch keine Änderungen an den offengelegten Informationen vornehmen (Integrität) oder den Zugriff auf die Ressource einschränken (Verfügbarkeit)."

Die Schwachstelle wurde von Dr. Florian Hauser (@frycos) entdeckt, der gegenüber BleepingComputer erklärte, dass es sich um die gleiche Schwachstelle handelt, die er im September 2022 enthüllte, die Microsoft damals aber nicht beheben wollte.

"Man könnte diese Schwachstelle nutzen, um Systeme in internen Netzwerken zu erreichen. Im Grunde genommen kann man damit die Internetgrenzen durchbrechen, da Skype normalerweise im öffentlichen Internet zugänglich ist", so Hauser gegenüber BleepingComputer.

CVE-2023-36563 - Microsoft WordPad - Sicherheitslücke bei der Offenlegung von Informationen

Microsoft hat eine aktiv ausgenutzte Sicherheitslücke behoben, die dazu verwendet werden kann, NTLM-Hashes zu stehlen, wenn ein Dokument in WordPad geöffnet wird.

"Um diese Schwachstelle auszunutzen, muss sich ein Angreifer zunächst am System anmelden. Ein Angreifer könnte dann eine speziell gestaltete Anwendung ausführen, die die Sicherheitslücke ausnutzt und die Kontrolle über ein betroffenes System übernimmt", erklärt Microsoft.

"Außerdem könnte ein Angreifer einen lokalen Benutzer dazu bringen, eine bösartige Datei zu öffnen. Der Angreifer müsste den Benutzer dazu bringen, auf einen Link zu klicken, typischerweise durch eine Verlockung in einer E-Mail oder Sofortnachricht, und ihn dann dazu bringen, die speziell gestaltete Datei zu öffnen."

Diese NTLM-Hashes können geknackt oder in NTLM-Relay-Angriffen verwendet werden, um Zugriff auf das Konto zu erhalten.

Diese Schwachstelle wurde intern von der Microsoft Threat Intelligence-Gruppe entdeckt und scheint ein Ableger von CVE-2023-36761 zu sein, der letzten Monat behoben wurde.

CVE-2023-44487 - HTTP/2 Rapid Reset-Angriff

Microsoft hat Abhilfemaßnahmen für eine neue Zero-Day-DDoS-Angriffstechnik namens 'HTTP/2 Rapid Reset' veröffentlicht, die seit August aktiv ausgenutzt wird und alle bisherigen Rekorde bricht.

Dieser Angriff missbraucht die Stream-Cancellation-Funktion von HTTP/2, um kontinuierlich Anfragen zu senden und abzubrechen, wodurch der Zielserver/die Zielanwendung überfordert wird und ein DoS-Zustand entsteht.

Da die Funktion in den HTTP/2-Standard integriert ist, gibt es für diese Technik keine andere Lösung als die Begrenzung der Übertragungsrate oder die Blockierung des Protokolls.

Microsofts Abhilfemaßnahmen im Advisory bestehen darin, das HTTP/2-Protokoll auf Ihrem Webserver zu deaktivieren. Es wurde jedoch auch ein dedizierter Artikel über HTTP/2 Rapid Reset mit weiteren Informationen bereitgestellt.

Diese Schwachstelle wurde heute in einer koordinierten Veröffentlichung von Cloudflare, Amazon und Google bekannt gegeben.

Microsoft sagt, dass die CVE-2023-41763 und CVE-2023-36563 öffentlich bekannt gemacht wurden.

CVE-2023-21709 - Exchange Server, nicht authentifizierte Angreifer können ihre Rechte auf nicht gepatchten Exchange-Servern ausweiten

Die Sicherheitslücke, die als CVE-2023-21709 bekannt ist und während des Patch Tuesday im August 2023 gepatcht wurde, ermöglicht es nicht authentifizierten Angreifern, ihre Privilegien auf ungepatchten Exchange-Servern in Angriffen mit geringer Komplexität, die keine Benutzerinteraktion erfordern, zu erweitern.

"Bei einem netzwerkbasierten Angriff könnte ein Angreifer die Passwörter von Benutzerkonten ausspionieren, um sich als dieser Benutzer anzumelden. Microsoft empfiehlt die Verwendung sicherer Kennwörter, die für einen Angreifer schwieriger zu erzwingen sind", erklärte Microsoft.

Obwohl Microsoft Sicherheitsupdates veröffentlicht hat, um die Schwachstelle zu beheben, wurden Exchange-Administratoren darüber informiert, dass sie auch das anfällige Windows IIS Token Cache-Modul manuell entfernen oder dieses PowerShell-Skript verwenden müssen, um sicherzustellen, dass ihre Server gegen Angriffe mit CVE-2023-21709 geschützt sind.

Im Rahmen des Patch Tuesday dieses Monats hat Microsoft nun ein neues Sicherheitsupdate (CVE-2023-36434) veröffentlicht, das die Schwachstelle CVE-2023-21709 vollständig behebt und keine zusätzlichen Schritte erfordert.

"Während der Veröffentlichung der August-2023-SUs haben wir empfohlen, eine manuelle oder skriptgesteuerte Lösung zu verwenden und das IIS-Token-Cache-Modul zu deaktivieren, um die Sicherheitslücke CVE-2023-21709 zu beheben", so das Exchange-Team.

"Heute hat das Windows-Team den IIS-Fix für die Ursache dieser Sicherheitslücke in Form des Fixes für CVE-2023-36434 veröffentlicht. Wir empfehlen die Installation des IIS-Fixes, wonach Sie das Token-Cache-Modul auf Ihren Exchange-Servern wieder aktivieren können."

Admins werden gebeten, das anfällige IIS-Modul wieder zu aktivieren

Wenn Sie das Windows IIS Token Cache-Modul bereits entfernt haben, um den Fehler der Privilegienerweiterung im August vollständig zu beheben, müssen Sie jetzt die heutigen Sicherheitsupdates installieren und das IIS-Modul mit diesem Skript oder durch Ausführen des folgenden Befehls von einer erhöhten PowerShell-Eingabeaufforderung wieder aktivieren:

New-WebGlobalModule -Name "TokenCacheModule" -Image "%windir%\System32\inetsrv\cachtokn.dll"

Admins, die das Sicherheitsupdate CVE-2023-21709 vom August noch nicht gepatcht haben, wird empfohlen, die Sicherheitsupdates für Windows Server vom Oktober 2023 zu installieren.

"Wir aktualisieren alle zugehörigen Dokumentationsseiten und Skripte für August 2023 sowie den Health Checker, um unsere neue Empfehlung zu berücksichtigen", so Microsoft weiter.

Die Oktober 2023 Patch Tuesday Sicherheitsupdates

Nachfolgend finden Sie die vollständige Liste der behobenen Sicherheitslücken in den Oktober 2023 Patch Tuesday Updates.