2024-04 Patchday Microsoft

Quelle: microsoft.com

Microsoft April 2024 Patch Tuesday behebt 150 Schwachstellen, 67 RCE-Fehler

Heute ist Microsofts Patch-Dienstag für April 2024, der Sicherheitsupdates für 150 Schwachstellen und siebenundsechzig Fehler bei der Remotecodeausführung enthält.

Im Rahmen des heutigen Patch Tuesday wurden nur drei kritische Sicherheitslücken behoben, aber es gibt über siebenundsechzig Fehler, die Remotecodeausführung ermöglichen. Mehr als die Hälfte der RCE-Schwachstellen sind in Microsoft SQL-Treibern zu finden, die wahrscheinlich einen gemeinsamen Fehler aufweisen.

Außerdem wurden in diesem Monat Korrekturen für sechsundzwanzig Umgehungen von Secure Boot veröffentlicht, darunter zwei von Lenovo.

In der Gesamtzahl von 150 Schwachstellen sind 5 Microsoft Edge-Schwachstellen, die am 4. April behoben wurden, und 2 Mariner-Schwachstellen nicht enthalten. Mariner ist eine [Open-Source-Linux-Distribution] (https://github.com/microsoft/azurelinux), die von Microsoft für seine Microsoft Azure-Dienste entwickelt wurde.

Am Patch Tuesday dieses Monats wurden zwei Zero-Day-Schwachstellen behoben, die in Malware-Angriffen aktiv ausgenutzt werden.

Microsoft hat es zunächst versäumt, die Zero-Day-Schwachstellen als aktiv ausgenutzt zu kennzeichnen, aber Sophos und Trend Micro haben Informationen darüber veröffentlicht, wie sie aktiv in Angriffen ausgenutzt wurden.

Interessante Schwachstellen

Der diesmonatige Patch Tuesday behebt zwar keine Zero-Day-Schwachstellen, enthält aber einige interessante Schwachstellen, die wir im Folgenden auflisten.

CVE-2024-29053 and CVE-2024-21323 - Kritische Sicherheitslücke bei der Ausführung von Remotecode in Microsoft Defender für IoT

Zwei kritische Schwachstellen, CVE-2024-29053 und CVE-2024-21323, wurden in Microsoft Defender for IoT identifiziert und unterstreichen die erheblichen Risiken für die Internet of Things (IoT)-Sicherheitsrahmen von Unternehmen. Die am 9. April 2024 bekannt gewordenen Schwachstellen wurden aufgrund ihrer potenziellen Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der von ihnen betroffenen Systeme als kritisch eingestuft. Diese Schwachstellen beruhen auf einem absoluten Pfadüberquerungsfehler, wie er in der Common Weakness Enumeration (CWE-36) kategorisiert ist, und ermöglichen Angreifern den Zugriff auf und die Manipulation von Verzeichnissen und Dateien, die sich außerhalb des Web-Root-Ordners befinden.

Die Ausnutzung solcher Schwachstellen könnte einen Angreifer in die Lage versetzen, aus der Ferne beliebigen Code auf dem System eines Opfers auszuführen. Dies hat weitreichende Folgen, die von der vollständigen Kontrolle über das System, der Unterbrechung von Diensten, dem Abfluss sensibler Daten bis hin zur weiteren Ausbreitung im Netzwerk reichen.

Mit einer CVSS v3.1-Bewertung von 8,8 wird der Schweregrad von CVE-2024-29053 und CVE-2024-21323 durch ihre weitreichenden Auswirkungen unterstrichen. Der Ausnutzungsprozess erfordert nur minimale Komplexität, was darauf hindeutet, dass Angreifer diese Schwachstellen mit einfachen Benutzerrechten und ohne jegliche Benutzerinteraktion ausnutzen könnten. Der Reifegrad des Exploit-Codes für diese Schwachstellen ist derzeit "Unproven", was darauf hindeutet, dass die Existenz dieser Schwachstellen zwar bestätigt ist, Exploit-Codes aber möglicherweise noch nicht in freier Wildbahn verbreitet sind.

Zum Zeitpunkt der Veröffentlichung des Hinweises gab es keine öffentliche Bekanntgabe oder Berichte über eine aktive Ausnutzung dieser Schwachstellen. Die Sicherheitslücke CVE-2024-29053 könnte über die Dateiupload-Funktion des Systems ausgenutzt werden. Ein Angreifer könnte eine bösartige Datei erstellen, indem er absolute Pfadüberquerungsmuster für den Upload verwendet und so die Datei in nicht autorisierten Verzeichnissen platziert und möglicherweise die Remotecodeausführung ermöglicht.

Als Reaktion darauf hat Microsoft ein korrigierendes Update entwickelt und verbreitet, um diese Sicherheitslücken zu beheben. Benutzern und Administratoren wird dringend empfohlen, dieses Update umgehend zu implementieren, um ihre Systeme vor einer möglichen Ausnutzung zu schützen und ihre betriebliche Integrität und sensiblen Daten zu bewahren.

Mehrere Sicherheitslücken bei der Remotecodeausführung im Microsoft OLE DB-Treiber für SQL Server

Im Microsoft OLE DB-Treiber für SQL Server, einer wichtigen Technologie für den Datenzugriff, die den schnellen Zugriff auf SQL Server-Daten über verschiedene Anwendungen hinweg ermöglicht, wurde eine Reihe kritischer Schwachstellen für die Remotecodeausführung (RCE) festgestellt. Diese Sicherheitsanfälligkeiten betreffen mehrere Treiberversionen und werden in ihrer Gesamtheit als "wichtig" eingestuft, was den Schweregrad betrifft.

Am 9. April 2024 gab Microsoft die Entdeckung durch die Veröffentlichung von 25 CVE-Kennungen bekannt, darunter CVE-2024-28906, CVE-2024-28908-15, CVE-2024-28926 bis CVE-2024-28927, CVE-2024-28939 bis CVE-2024-28945 und CVE-2024-29044-48, die bis CVE-2024-29982-85 reichen. Diese Schwachstellen, die unter CWE-122: Heap-basierte Pufferüberläufe klassifiziert sind, entstehen durch unsachgemäße Eingabeverarbeitung durch die Anwendung, was zu Pufferüberläufen, Speicherüberschreibungen und schließlich zu undefiniertem Verhalten führt, das einen RCE auslösen kann.

Mit einer hohen CVSS v3.1-Basisbewertung von 8,8 sind die Auswirkungen dieser Schwachstellen erheblich. Bei erfolgreicher Ausnutzung können Angreifer aus der Ferne bösartigen Code ausführen, die Systemintegrität, -vertraulichkeit und -verfügbarkeit gefährden und möglicherweise ihren Zugriff auf das Zielnetzwerk ausweiten. Bis zum Zeitpunkt der Veröffentlichung dieses Hinweises wurden diese Schwachstellen weder öffentlich bekannt gegeben noch ausgenutzt.

Der Angriffsvektor besteht darin, einen authentifizierten Benutzer dazu zu verleiten, eine Verbindung zu einem betrügerischen SQL-Server herzustellen, der den kompromittierten Treiber verwendet, der dann manipulierte Pakete sendet, um die Heap-basierten Pufferüberlaufschwachstellen auszunutzen, wodurch ein RCE auf der Client-Seite ermöglicht wird.

Um diese Risiken zu minimieren, wird SQL Server-Benutzern empfohlen, die neuesten Updates zu installieren, einschließlich spezifischer Treiberkorrekturen. Anwendungen sollten auf die Verwendung von Microsoft OLE DB-Treibern der Versionen 18 oder 19 umsteigen und sicherstellen, dass es sich dabei um die gepatchten Versionen handelt. Für Benutzer von Drittanbieteranwendungen ist es wichtig, die Kompatibilität mit den Microsoft OLE DB-Treibern der Versionen 18 oder 19 zu bestätigen, bevor sie die Updates anwenden.

Die Updates sollten auf der Grundlage der verwendeten SQL Server-Version ausgewählt werden, wobei zu berücksichtigen ist, ob General Distribution Release (GDR) oder Cumulative Update (CU) Updates anwendbar sind. SQL Server-Instanzen, die auf Windows Azure Infrastructure as a Service (IaaS) ausgeführt werden, haben die Möglichkeit, Updates automatisch über Microsoft Update zu erhalten oder Sicherheitsupdates manuell anzuwenden.

Angesichts des kritischen Charakters dieser Schwachstellen, insbesondere in Umgebungen, in denen SQL Server intensiv genutzt wird, ist es für die Aufrechterhaltung der Systemsicherheit und -integrität von entscheidender Bedeutung, diesen Behebungsmaßnahmen Priorität einzuräumen.

CVE-2024-26257 - Microsoft Excel Sicherheitslücke bei der Remotecodeausführung

In Microsoft Excel, der weit verbreiteten Tabellenkalkulationsanwendung von Microsoft, ist eine kritische Sicherheitslücke mit der Bezeichnung CVE-2024-26257 aufgetaucht. Diese Sicherheitslücke, die in einem Advisory vom 9. April 2024 hervorgehoben und als "wichtig" eingestuft wird, kann Angreifern in bestimmten Szenarien die Möglichkeit bieten, beliebigen Code aus der Ferne auf dem System eines Opfers auszuführen.

Dieses Problem fällt unter CWE-415: Double Free, eine Bedingung, bei der derselbe Speicherplatz fälschlicherweise zweimal über Systemfunktionsaufrufe freigegeben wird. Ein solches Missgeschick kann ein Spektrum unvorhersehbaren Verhaltens auslösen, das von Programmabstürzen und Speicherbeschädigungen bis hin zur Ausführung von beliebigem Code reicht.

Mit einer CVSS v3.1-Basisbewertung von 7,8 stellt die Schwachstelle ein erhebliches Risiko für die Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Systeme dar. Zu den wichtigsten Risikomerkmalen im Zusammenhang mit CVE-2024-26257 gehören:

• Angriffsvektor (AV): Lokal, erfordert den Zugriff auf das lokale System
• Angriffskomplexität (AC): Niedrig
• Erforderliche Privilegien (PR): Keine
• Benutzerinteraktion (UI): Erforderlich
• Umfang (S): Unverändert

Trotz der Einstufung "weniger wahrscheinlich" für die Ausnutzungswahrscheinlichkeit wird der Reifegrad des Exploit-Codes als "hoch" eingestuft. Dies deutet darauf hin, dass es zum Zeitpunkt der Erstellung des Hinweises zwar noch keine Fälle von Ausnutzung oder öffentlicher Bekanntgabe gegeben hat, die Bedingungen für eine mögliche Ausnutzung jedoch bestehen und Vorsicht geboten ist.

Die Ausnutzung der Sicherheitslücke erfordert die Interaktion des Benutzers, d. h. das Opfer wird von einem Angreifer zum Öffnen einer bösartigen Excel-Datei verleitet. Die Benutzer werden daher dringend gebeten, Vorsicht walten zu lassen und keine Dateien aus unbekannten oder nicht vertrauenswürdigen Quellen zu öffnen.

Obwohl der Angriffsvektor als lokal eingestuft wird, was bedeutet, dass der bösartige Code auf dem Computer des Opfers ausgeführt werden muss, weist der Deskriptor "Remote Code Execution" darauf hin, dass der Angreifer in der Lage ist, den Angriff aus der Ferne über eine bösartige Datei zu initiieren, die das Opfer öffnen muss.

Insbesondere Nutzer von Microsoft Office 2021 für Mac sollten beachten, dass ein Sicherheitsupdate in Kürze zur Verfügung stehen wird, wobei Microsoft sich verpflichtet hat, dieses Update zeitnah zu veröffentlichen. Die Benutzer werden durch eine Überarbeitung der CVE-Details informiert, sobald das Update verfügbar ist.

Microsoft hat einen "offiziellen Fix" zur Verfügung gestellt, um diese Sicherheitslücke zu beheben. Den Benutzern wird dringend empfohlen, diese Lösung zu implementieren, um sich gegen mögliche Angriffe zu schützen. Für Versionen, die noch kein Sicherheitsupdate erhalten haben, wie z. B. Office 2021 für Mac, ist es wichtig, wachsam zu bleiben, sich an sichere Computerpraktiken zu halten und Systeme sofort zu aktualisieren, sobald Updates veröffentlicht werden.

CVE-2024-20678 - Schwachstelle bei Remoteprozeduraufrufen zur Ausführung von Remotecode

Die Identifizierung von CVE-2024-20678 enthüllt eine kritische Schwachstelle innerhalb der Remote Procedure Call (RPC)-Laufzeit, die am 9. April 2024 bekannt wurde. Diese Sicherheitslücke stellt eine erhebliche Bedrohung dar, da sie es Angreifern mit erhöhten Rechten ermöglichen könnte, Remotecode auszuführen. Dieses Problem wurde von Microsoft, der für seine Veröffentlichung verantwortlichen CVE Numbering Authority (CNA), mit dem Schweregrad "Wichtig" eingestuft und erfordert dringend Aufmerksamkeit.

Die unter CWE-843, Access of Resource Using Incompatible Type, oder "Type Confusion" klassifizierte Schwachstelle entsteht durch unsachgemäßen Ressourcenzugriff unter Verwendung eines Typs, der nicht mit dem vorgesehenen sicheren Typ übereinstimmt. Solche Unstimmigkeiten können zu Ergebnissen führen, die von der Beschädigung von Daten bis zur Ausführung von beliebigem Code reichen.

Mit einem CVSS v3.1-Score von 8,8 signalisiert die Schwachstelle ein erhebliches Risiko, das eine ernsthafte Bedrohung für die Vertraulichkeit, Integrität und Verfügbarkeit des Systems darstellt. Zu den wichtigsten Risikomerkmalen gehören:

• Die Sicherheitslücke kann über ein Netzwerk aus der Ferne ausgenutzt werden.
• Die Komplexität der Ausnutzung ist gering, was auf eine einfache Ausführung hindeutet.
• Sie kann von einem authentifizierten Benutzer ohne erhöhte Rechte ausgenutzt werden.
• Für die Ausnutzung ist keine Benutzerinteraktion erforderlich.
• Die Auswirkungen des Exploits bleiben innerhalb der gleichen Berechtigungsstufe wie die kompromittierte Komponente.
• Zum Zeitpunkt der Offenlegung gab es keine Berichte über eine aktive Ausnutzung der Schwachstelle.
• Die Details der Schwachstelle wurden nicht öffentlich bekannt gegeben.

Das Erfordernis "niedriger" Privilegien deutet darauf hin, dass ein Angreifer mit grundlegendem Zugriff auf Benutzerebene diese Schwachstelle ausnutzen könnte, was den Kreis potenzieller Angreifer erweitert, da mehr Benutzer als Vektoren für einen Angriff dienen können.

Die RPC-Laufzeit, ein kritischer Mechanismus zur Ausführung von Code auf einem Server von einem Gerät in einem anderen Netzwerk oder an einem anderen geografischen Standort aus, ist das Herzstück dieser Sicherheitslücke. Ein Angreifer, der diese Schwachstelle ausnutzt, würde einen speziell gestalteten RPC-Aufruf an einen anfälligen Host initiieren, der möglicherweise die Remotecodeausführung auf dem Zielserver mit denselben Rechten wie der RPC-Dienst ermöglicht, was bis zu Rechten auf Systemebene reichen kann.

Obwohl der Reifegrad des Exploit-Codes als "unbewiesen" eingestuft wird, was bedeutet, dass es keine funktionierenden Exploits in freier Wildbahn gibt, unterstreicht das Potenzial für eine Ausnutzung die Bedeutung rechtzeitiger Sicherheitsupdates. Unternehmen, die RPC-Kommunikation nutzen, müssen die empfohlenen Updates umgehend einspielen, um das Risiko unberechtigter Angriffe aus der Ferne, die diese Sicherheitslücke ausnutzen könnten, zu verringern. In Anbetracht der integralen Rolle von RPC in zahlreichen Computeroperationen sind die Auswirkungen einer solchen Schwachstelle weitreichend und rechtfertigen sofortige und umfassende Abhilfemaßnahmen.

Die April 2024 Patch Tuesday Sicherheitsupdates

Nachfolgend finden Sie die vollständige Liste der behobenen Sicherheitslücken in den Patch Tuesday Updates vom April 2024.