Microsoft Security Update Summary (10. Oktober 2023)

[English]Am 10. Oktober 2023 hat Microsoft Sicherheitsupdates für Windows-Clients und -Server, für Office – sowie für weitere Produkte  – veröffentlicht. Die Sicherheitsupdates beseitigen 103 Schwachstellen, zwei sind 0-day-Sicherheitslücken. Nachfolgend findet sich ein kompakter Überblick über diese Updates, die zum Patchday freigegeben wurden.

Hinweise zu den Updates

Eine Liste der Updates finden Sie auf dieser Microsoft-Seite. Details zu den Update-Paketen für Windows, Office etc. sind in separaten Blogbeiträgen verfügbar.

Windows 10/11, Windows Server

Alle Windows 10/11-Updates (sowie die Updates der Server-Pendants) sind kumulativ. Das monatliche Patchday-Update enthält alle Sicherheitsfixes für diese Windows-Versionen – sowie alle nicht sicherheitsbezogenen Fixes bis zum Patchday. Zusätzlich zu den Sicherheitspatches für die Schwachstellen enthalten die Updates auch Fixes zur Behebung von Fehlern oder Neuerungen.

Windows 7 SP1/Windows Server 2012 R2

Windows 7 SP1 wird seit Januar 2020 nicht mehr unterstützt. Nur Kunden mit einer ESU-Lizenz für das 4. Jahr (oder Umgehungsmaßnahmen) erhalten noch Updates. Updates können auch aus dem Microsoft Update Catalog heruntergeladen werden. Windows Server 2012 /R2 erhält bis Oktober 2023 Sicherheitsupdates.

Gefixte Schwachstellen

Bei Tenable gibt es diesen Blog-Beitrag mit einer Übersicht der gefixten Schwachstellen. Hier einige der kritischen Schwachstellen, die beseitigt wurden:

• CVE-2023-36563: Microsoft WordPad Information Disclosure-Schwachstelle,  CVEv3 Score 6.5, important; Microsoft sagt, dass diese Sicherheitslücke als Zero-Day ausgenutzt wurde. Ein nicht authentifizierter, entfernter Angreifer könnte diese Schwachstelle durch Social Engineering ausnutzen, um ein Ziel davon zu überzeugen, einen Link zu öffnen oder eine bösartige Datei herunterzuladen und sie auf dem anfälligen System auszuführen. Alternativ könnte ein Angreifer eine speziell gestaltete Anwendung ausführen, um die Schwachstelle auszunutzen, nachdem er sich Zugang zu einem anfälligen System verschafft hat. Eine erfolgreiche Ausnutzung könnte zur Offenlegung von New Technology LAN Manager (NTLM) Hashes führen.
• CVE-2023-41763: Skype for Business Elevation of Privilege-Schwachstelle,  CVEv3 Score 5.3, important; Microsoft sagt, dass diese Sicherheitslücke als Zero-Day ausgenutzt wurde. Ein nicht authentifizierter, entfernter Angreifer könnte diese Sicherheitslücke ausnutzen, indem er einen speziell gestalteten Netzwerkanruf an einen anfälligen Skype for Business-Server sendet. Eine erfolgreiche Ausnutzung würde zur Offenlegung sensibler Informationen führen, die dazu verwendet werden könnten, Zugang zu internen Netzwerken zu erhalten.
• CVE-2023-35349: Microsoft Message Queuing Remote Code Execution-Schwachstelle, CVEv3 Score 9.8, critical; Ein nicht authentifizierter, entfernter Angreifer könnte diese Schwachstelle ausnutzen, indem er ein speziell präpariertes Paket an ein verwundbares Ziel sendet.
• CVE-2023-36434: Windows IIS Server Elevation of Privilege-Schwachstelle, CVEv3 Score 9.8, important; Nach Angaben von Microsoft kann ein Angreifer diese Sicherheitslücke ausnutzen, indem er die Anmeldedaten eines Benutzers mit Gewalt erzwingt. Da die Erfolgschancen sehr unterschiedlich sein können und bei starken Passwörtern weniger wahrscheinlich sind, ist die Bewertung Microsofts Schweregrad trotz des kritischen CVSS-Scores "important".
• CVE-2023-36569: Microsoft Office Elevation of Privilege-Schwachstelle, CVEv3 Score 8.4, important; Eine erfolgreiche Ausnutzung dieser Sicherheitsanfälligkeit würde einem Angreifer Rechte auf SYSTEM-Ebene verschaffen. Microsoft weist darauf hin, dass es weniger wahrscheinlich ist, dass diese Sicherheitsanfälligkeit ausgenutzt wird und dass das Vorschaufenster kein Angriffsvektor für die Ausnutzung dieser Sicherheitsanfälligkeit ist.
• CVE-2023-36778: Microsoft Exchange Server Remote Code Execution-Schwachstelle, CVEv3 Score 8.0, important; Ein lokaler, authentifizierter Angreifer kann diese Sicherheitsanfälligkeit über eine Remote-PowerShell-Sitzung mit dem Zielserver ausnutzen. Die Sicherheitsanfälligkeit wird durch eine unsachgemäße Validierung von Cmdlet-Argumenten in Microsoft Exchange Server verursacht. CVE-2023-36778 wurde mit dem Microsoft Exploitability Index als "Exploitation More Likely" eingestuft.
• CVE-2023-44487: HTTP/2 Rapid Reset Attack, ist eine Denial-of-Service (DoS)-Schwachstelle, die HTTP/2-Webserver betrifft und in freier Wildbahn ausgenutzt wurde. Diese Schwachstelle betrifft nicht nur Microsoft-Server, sondern es wurden Patches zur Verfügung gestellt, um diese Schwachstelle in mehreren Windows-Versionen, einschließlich Server Core-Installationen, zu beheben.
  Diese Schwachstelle wurde gegen mehrere Ziele in einem DDoS-Angriff (Distributed Denial of Service) ausgenutzt.

Eine Liste aller abgedeckten CVEs finden Sie auf dieser Microsoft-Seite, Auszüge sind bei Tenable abrufbar. Nachfolgend noch die Liste der gepatchten Produkte:

• Active Directory Domain Services
• Azure
• Azure DevOps
• Azure Real Time Operating System
• Azure SDK
• Client Server Run-time Subsystem (CSRSS)
• Microsoft Common Data Model SDK
• Microsoft Dynamics
• Microsoft Exchange Server
• Microsoft Graphics Component
• Microsoft Office
• Microsoft QUIC
• Microsoft WDAC OLE DB provider for SQL
• Microsoft Windows Media Foundation
• Microsoft Windows Search Component
• Microsoft WordPad
• SQL Server
• Skype for Business
• Windows Active Template Library
• Windows AllJoyn API
• Windows Client/Server Runtime Subsystem
• Windows Common Log File System Driver
• Windows Container Manager Service
• Windows DHCP Server
• Windows Deployment Services
• Windows Error Reporting
• Windows HTML Platform
• Windows IIS
• Windows IKE Extension
• Windows Kernel
• Windows Layer 2 Tunneling Protocol
• Windows Mark of the Web (MOTW)
• Windows Message Queuing
• Windows Microsoft DirectMusic
• Windows Mixed Reality Developer Tools
• Windows NT OS Kernel
• Windows Named Pipe File System
• Windows Power Management Service
• Windows RDP
• Windows Remote Procedure Call
• Windows Resilient File System (ReFS)
• Windows Runtime C++ Template Library
• Windows Setup Files Cleanup
• Windows TCP/IP
• Windows TPM
• Windows Virtual Trusted Platform Module
• Windows Win32K

Ähnliche Artikel:
Microsoft Security Update Summary (10. Oktober 2023)
Patchday: Windows 10-Updates (10. Oktober 2023)
Patchday: Windows 11/Server 2022-Updates (10. Oktober 2023)
Windows 7/Server 2008 R2; Server 2012 R2: Updates (10. Oktober 2023)
Microsoft Office Updates (10. Oktober 2023)

Exchange Server Sicherheitsupdates (10. Oktober 2023)