Microsoft Security Update Summary (10. Oktober 2023)

Update[English]Am 10. Oktober 2023 hat Microsoft Sicherheitsupdates für Windows-Clients und -Server, für Office – sowie für weitere Produkte  – veröffentlicht. Die Sicherheitsupdates beseitigen 103 Schwachstellen, zwei sind 0-day-Sicherheitslücken. Nachfolgend findet sich ein kompakter Überblick über diese Updates, die zum Patchday freigegeben wurden.


Anzeige

Hinweise zu den Updates

Eine Liste der Updates finden Sie auf dieser Microsoft-Seite. Details zu den Update-Paketen für Windows, Office etc. sind in separaten Blogbeiträgen verfügbar.

Windows 10/11, Windows Server

Alle Windows 10/11-Updates (sowie die Updates der Server-Pendants) sind kumulativ. Das monatliche Patchday-Update enthält alle Sicherheitsfixes für diese Windows-Versionen – sowie alle nicht sicherheitsbezogenen Fixes bis zum Patchday. Zusätzlich zu den Sicherheitspatches für die Schwachstellen enthalten die Updates auch Fixes zur Behebung von Fehlern oder Neuerungen.

Windows 7 SP1/Windows Server 2012 R2

Windows 7 SP1 wird seit Januar 2020 nicht mehr unterstützt. Nur Kunden mit einer ESU-Lizenz für das 4. Jahr (oder Umgehungsmaßnahmen) erhalten noch Updates. Updates können auch aus dem Microsoft Update Catalog heruntergeladen werden. Windows Server 2012 /R2 erhält bis Oktober 2023 Sicherheitsupdates.

Gefixte Schwachstellen

Bei Tenable gibt es diesen Blog-Beitrag mit einer Übersicht der gefixten Schwachstellen. Hier einige der kritischen Schwachstellen, die beseitigt wurden:

  • CVE-2023-36563: Microsoft WordPad Information Disclosure-Schwachstelle,  CVEv3 Score 6.5, important; Microsoft sagt, dass diese Sicherheitslücke als Zero-Day ausgenutzt wurde. Ein nicht authentifizierter, entfernter Angreifer könnte diese Schwachstelle durch Social Engineering ausnutzen, um ein Ziel davon zu überzeugen, einen Link zu öffnen oder eine bösartige Datei herunterzuladen und sie auf dem anfälligen System auszuführen. Alternativ könnte ein Angreifer eine speziell gestaltete Anwendung ausführen, um die Schwachstelle auszunutzen, nachdem er sich Zugang zu einem anfälligen System verschafft hat. Eine erfolgreiche Ausnutzung könnte zur Offenlegung von New Technology LAN Manager (NTLM) Hashes führen.
  • CVE-2023-41763: Skype for Business Elevation of Privilege-Schwachstelle,  CVEv3 Score 5.3, important; Microsoft sagt, dass diese Sicherheitslücke als Zero-Day ausgenutzt wurde. Ein nicht authentifizierter, entfernter Angreifer könnte diese Sicherheitslücke ausnutzen, indem er einen speziell gestalteten Netzwerkanruf an einen anfälligen Skype for Business-Server sendet. Eine erfolgreiche Ausnutzung würde zur Offenlegung sensibler Informationen führen, die dazu verwendet werden könnten, Zugang zu internen Netzwerken zu erhalten.
  • CVE-2023-35349: Microsoft Message Queuing Remote Code Execution-Schwachstelle, CVEv3 Score 9.8, critical; Ein nicht authentifizierter, entfernter Angreifer könnte diese Schwachstelle ausnutzen, indem er ein speziell präpariertes Paket an ein verwundbares Ziel sendet.
  • CVE-2023-36434: Windows IIS Server Elevation of Privilege-Schwachstelle, CVEv3 Score 9.8, important; Nach Angaben von Microsoft kann ein Angreifer diese Sicherheitslücke ausnutzen, indem er die Anmeldedaten eines Benutzers mit Gewalt erzwingt. Da die Erfolgschancen sehr unterschiedlich sein können und bei starken Passwörtern weniger wahrscheinlich sind, ist die Bewertung Microsofts Schweregrad trotz des kritischen CVSS-Scores "important".
  • CVE-2023-36569: Microsoft Office Elevation of Privilege-Schwachstelle, CVEv3 Score 8.4, important; Eine erfolgreiche Ausnutzung dieser Sicherheitsanfälligkeit würde einem Angreifer Rechte auf SYSTEM-Ebene verschaffen. Microsoft weist darauf hin, dass es weniger wahrscheinlich ist, dass diese Sicherheitsanfälligkeit ausgenutzt wird und dass das Vorschaufenster kein Angriffsvektor für die Ausnutzung dieser Sicherheitsanfälligkeit ist.
  • CVE-2023-36778: Microsoft Exchange Server Remote Code Execution-Schwachstelle, CVEv3 Score 8.0, important; Ein lokaler, authentifizierter Angreifer kann diese Sicherheitsanfälligkeit über eine Remote-PowerShell-Sitzung mit dem Zielserver ausnutzen. Die Sicherheitsanfälligkeit wird durch eine unsachgemäße Validierung von Cmdlet-Argumenten in Microsoft Exchange Server verursacht. CVE-2023-36778 wurde mit dem Microsoft Exploitability Index als "Exploitation More Likely" eingestuft.
  • CVE-2023-44487: HTTP/2 Rapid Reset Attack, ist eine Denial-of-Service (DoS)-Schwachstelle, die HTTP/2-Webserver betrifft und in freier Wildbahn ausgenutzt wurde. Diese Schwachstelle betrifft nicht nur Microsoft-Server, sondern es wurden Patches zur Verfügung gestellt, um diese Schwachstelle in mehreren Windows-Versionen, einschließlich Server Core-Installationen, zu beheben.
    Diese Schwachstelle wurde gegen mehrere Ziele in einem DDoS-Angriff (Distributed Denial of Service) ausgenutzt.

Eine Liste aller abgedeckten CVEs finden Sie auf dieser Microsoft-Seite, Auszüge sind bei Tenable abrufbar. Nachfolgend noch die Liste der gepatchten Produkte:

  • Active Directory Domain Services
  • Azure
  • Azure DevOps
  • Azure Real Time Operating System
  • Azure SDK
  • Client Server Run-time Subsystem (CSRSS)
  • Microsoft Common Data Model SDK
  • Microsoft Dynamics
  • Microsoft Exchange Server
  • Microsoft Graphics Component
  • Microsoft Office
  • Microsoft QUIC
  • Microsoft WDAC OLE DB provider for SQL
  • Microsoft Windows Media Foundation
  • Microsoft Windows Search Component
  • Microsoft WordPad
  • SQL Server
  • Skype for Business
  • Windows Active Template Library
  • Windows AllJoyn API
  • Windows Client/Server Runtime Subsystem
  • Windows Common Log File System Driver
  • Windows Container Manager Service
  • Windows DHCP Server
  • Windows Deployment Services
  • Windows Error Reporting
  • Windows HTML Platform
  • Windows IIS
  • Windows IKE Extension
  • Windows Kernel
  • Windows Layer 2 Tunneling Protocol
  • Windows Mark of the Web (MOTW)
  • Windows Message Queuing
  • Windows Microsoft DirectMusic
  • Windows Mixed Reality Developer Tools
  • Windows NT OS Kernel
  • Windows Named Pipe File System
  • Windows Power Management Service
  • Windows RDP
  • Windows Remote Procedure Call
  • Windows Resilient File System (ReFS)
  • Windows Runtime C++ Template Library
  • Windows Setup Files Cleanup
  • Windows TCP/IP
  • Windows TPM
  • Windows Virtual Trusted Platform Module
  • Windows Win32K

Ähnliche Artikel:
Microsoft Security Update Summary (10. Oktober 2023)
Patchday: Windows 10-Updates (10. Oktober 2023)
Patchday: Windows 11/Server 2022-Updates (10. Oktober 2023)
Windows 7/Server 2008 R2; Server 2012 R2: Updates (10. Oktober 2023)
Microsoft Office Updates (10. Oktober 2023)

Exchange Server Sicherheitsupdates (10. Oktober 2023)


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Dieser Beitrag wurde unter Office, Sicherheit, Update, Windows abgelegt und mit , , , , verschlagwortet. Setze ein Lesezeichen auf den Permalink.

12 Antworten zu Microsoft Security Update Summary (10. Oktober 2023)

  1. PeDe sagt:

    Hi,

    bei Server 2022 schmuggelt Microsoft den "Azure Arc-Setup" in den Systray.
    Um dies zu Entfernen muss man das Feature "Azure Arc-Setup" deinstallieren was einen Reboot erforderlich macht!

    Nach Windows Backup App der nächste Geniestreich.
    https://learn.microsoft.com/en-us/azure/azure-arc/servers/onboard-windows-server

    • PeDe sagt:

      Lässt unterdrücken mithilfe von:
      Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ DisallowRun:1 dword

      Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun\
      1:AzureArcSysTray.exe string

      das für die User und Ruhe ist…
      Falls wer eine bessere Idee hat immer her damit.

  2. Dominik sagt:

    Jemand schon einen DC gemacht?

    Server 2016, 2019 als VM bisher ohne Probleme

    Server 2019 Hyper-V ebenso keine Probleme

  3. Steve sagt:

    Kann es sein dass auf Server 2022 mit den Oktober Updates das Feature "Azure Arc Setup" mit kommt?

  4. MOM20xx sagt:

    ein highlight der idiotie aus dem hause Microsoft

    wer https://msrc.microsoft.com/update-guide/ in Sprache Deutsch liest bekommt keine Patches angezeigt. erst wenn man Sprache auf Englisch stellt klappt es mit der Anzeige wieder. Wieder etwas wo Microsoft an Sprachen scheitert.

    • Stefan A. sagt:

      Das gleiche habe ich gestern auch festgestellt.
      Dachte erst, liegt am Cache oder sowas.
      Aber auch bei mir wurde auf deutsch nichts angezeigt – auf englisch schon.

  5. Sebastian A. sagt:

    Hallo Zusammen

    Hat ebenfalls jemand Probleme mit Veeam V12 und Windows Server 2012 R2 festgestellt nach der Installation der Oktober Updates?

    Auf unserem Hyper-V Cluster haben wir 10 Windows Server 2022 und 3 Windows Server 2012 R2 .

    Am Freitag wurden sowohl der Veeam Server (2022) und alle VMs aktualisiert. Alle VMs mit Server 2022 lassen sich sichern. Bei den 2012 R2 VMs schlägt das Backup fehl mit der Meldung "Incorrect Username Passwort". Der "Credential Test" schlägt fehl mit der Meldung, dass die RPC Verbindung zum Server nicht hergestellt werden kann.

    Hat aber bis anhin ohne Probleme funktioniert.

    Jemand eine Idee? Hab ich was übersehen in diesem Zusammenhang?

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.